Читать книгу - "Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт"

Любляна, столица Словении, — пожалуй, не первое место, которое приходит вам на ум, когда речь заходит о высокотехнологичных финансовых услугах. Но в этом и состоит одна из особенностей нового мира криптовалют: главные события не обязательно разворачиваются в Нью-Йорке, Гонконге или Лондоне. С тем же успехом они могут происходить в маленьком офисе где-нибудь на отшибе, где трудится горстка технарей и мечтателей. Так было и со словенской компанией NiceHash. Её бизнес-модель довольно трудно объяснить тем, кто не знаком с внутренним устройством криптовалют. Достаточно сказать, что главная её цель — дать площадку, где люди, которых интересуют эти новые деньги, могут купить или арендовать услуги у тех, у кого есть необходимые для этого технические знания и вычислительные мощности. За то, что сводит их друг с другом, NiceHash берёт комиссию.

Ниша, может, и узкая, но в 2017 году NiceHash зарабатывала серьёзные деньги — отчасти благодаря стремительному росту, который весь тот год переживали биткоин и другие криптовалюты. В январе вы могли купить один биткоин примерно за 1000 долларов. Через двенадцать месяцев вы продали бы его чуть дороже чем за 19 000 долларов (если вы с огорчением сравниваете это с тем, что за то же время принёс ваш банковский счёт, читайте дальше: вложения в цифровые валюты бывают прибыльными, но и риск в них огромный).

Как и многие криптовалютные компании, NiceHash позволяла клиентам хранить средства в биткоин-кошельках, которыми управляла сама компания4. Клиенты могли войти в систему, проверить баланс, а потом отправлять деньги другим пользователям NiceHash и получать от них. Но 6 декабря 2017 года, когда цена биткоина взлетела выше 11 000 долларов, клиентов NiceHash, заходивших в систему, ждал неприятный сюрприз. Деньги исчезли. Хакеры проникли в системы компании и украли тысячи биткоинов. Компания судорожно пыталась взять ситуацию под контроль, вспоминает Марко Гашпарич, тогдашний менеджер по продукту NiceHash. «Сначала я не поверил, что это всё по-настоящему, — рассказывает он. — Ситуация чрезвычайная, всех вызвали обратно на работу. Нас атаковали. Мы делали всё, что могли, чтобы спасти бизнес и защитить клиентов».

Больше всего в компании тревожило то, что NiceHash была для хакеров отнюдь не лёгкой мишенью. По словам Гашпарича, к безопасности там относились очень серьёзно. Тот, кто проник в систему, сумел обойти все средства защиты и контроля. «Всё было очень хорошо спланировано, — говорит он. — Не верю, что любитель или одиночка мог бы провести такую атаку».

Вскоре делом заинтересовалось ФБР и, проанализировав кражу, пришло к тому же выводу. На NiceHash напала одна из самых профессиональных хакерских команд в мире — группировка Lazarus. Тактика была удручающе знакомой. 4 декабря группировка отправила в NiceHash фишинговое письмо, и обманутый сотрудник скачал вирус, открывший хакерам доступ к сети компании. К 6 декабря члены Lazarus уже настолько разобрались в системах компании и так прочно взяли их под контроль, что смогли вывести биткоины на 75 млн долларов5.

«Это крупнейшая кража в истории Словении», — говорит Гашпарич. В конце концов NiceHash полностью возместила потери всем клиентам, ежемесячно откладывая на это часть прибыли.

По сравнению с прежними кражами, которые приписывали Lazarus, налёт на NiceHash стал огромным скачком вперёд. Всего за два дня группировка заработала почти столько же, сколько за целый год, потраченный на дело Банка Бангладеш. И на этот раз не пришлось расплачиваться ни с сетью китайских игроков, ни с японскими посредниками. Вся добыча могла уйти прямиком в биткоин-кошельки самих хакеров — анонимные хранилища денег в киберпространстве.

Хакеры Lazarus, судя по всему, быстро оценили выгоды нового вида преступного бизнеса. Они с азартом подхватили криптолихорадку. NiceHash — лишь один пример: по данным следователей ФБР, которые едва за ними поспевали, в 2017 и 2018 годах банда атаковала целую череду криптовалютных компаний. Свой почерк хакеры отточили до совершенства. Сотруднику приходило фишинговое письмо, он по неосторожности скачивал вирус, и вскоре с цифровых кошельков компании-жертвы уходили десятки миллионов долларов — уходили навсегда. Деньги перемещались с ошеломляющей скоростью, и это часто сводило на нет любые попытки вернуть украденное.

Например, одна криптовалютная компания после ограбления попыталась дать отпор хитрым приёмом: она создала систему, которая помечала кошельки, куда переводились украденные средства, меткой «do_not_accept_trades: owner_of_this_account_is_hacker» (не принимать сделки: владелец этого аккаунта — хакер)6. По словам компании, это должно было сделать украденные деньги «фактически непригодными для использования». Но хакеры в ответ просто завели сотни кошельков и перегоняли деньги так быстро, что система меток за ними не успевала. Средства так и не вернули.

По словам исследователей кибербезопасности, бойцы Lazarus к тому же всё ловчее обманом заставляли людей скачивать свои вирусы. Для заманивания жертв группировка стала использовать соцсети вроде LinkedIn. В одном случае технарь из криптовалютной компании получил от рекрутера сообщение о заманчивой новой должности в компании-конкуренте — должность словно была скроена под его навыки. Так оно и было: хакеры изучили свою цель в LinkedIn и составили описание вакансии, которое просто не могло не приглянуться. Но прежде чем жертва успела открыть файл Word с анкетой, на экране всплыло окно: документ якобы защищён европейскими нормами о персональных данных. Чтобы добраться до анкеты, получателю нужно было нажать «Включить содержимое». Больше ничего и не требовалось. Этим щелчком он, сам того не зная, запускал цифровой бэкдор, спрятанный в файле Word, и открывал хакерам доступ к своему компьютеру, а через него — к сети компании. Возможно, жертву немного утешит то, что, по данным исследователей, хакеры в то же самое время проворачивали точно такой же трюк ещё примерно в двадцати странах7.

Но, как мы узнали на примере ограбления Банка Бангладеш, проникнуть внутрь — для хакеров лишь начало. Уйти с добычей — совсем другая история. Пусть криптобиржи и казались более лёгкой мишенью, а кража у них позволяла в мгновение ока гонять украденные цифровые деньги по всему миру, трудностей хакерам всё равно хватало. Рано или поздно неправедно нажитые цифровые богатства нужно было превратить в фунты, доллары и так далее. В конце концов, если вы хотите купить Mercedes в самой дорогой комплектации или ящик элитного коньяка — те самые предметы роскоши, до которых так охоча северокорейская элита, — расплатиться биткоином будет непросто (по крайней мере, пока). Было у хакеров и второе препятствие: из-за всплеска криптопреступности биржи стали внимательнее присматриваться к проходящим через них транзакциям и вводили новые проверки, чтобы не допустить отмывания денег.

Но, по данным ФБР, к концу 2018 года группировка Lazarus становилась всё искуснее: она не только обходила эти новые препоны, но и превращала украденную виртуальную валюту в наличные. Для этого она налаживала