Читать книгу - "Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт"

Обращаясь к Фунгу и разговаривая с инвесторами, таинственный человек, стоявший за Marine Chain, называл себя «Тони Уокером», но потом сказал Фунгу, что это лишь псевдоним, а на самом деле его зовут Жюльен Ким: этим именем он подписывал контракты. Более того, Ким начал выдвигать странные требования: он хотел, чтобы все акции компании принадлежали Фунгу. Фунг возражал и ответил Киму в сообщении (sic): «Бро слишком много ответственности мало времени смотреть за операционным аспектом»15. Тем не менее Фунг начал работать на Marine Chain: рассказывал о компании на мероприятиях, где его порой представляли её генеральным директором16. Кроме того, по указанию Кима он оплачивал счета поставщиков компании. А потом однажды сообщения от основателя Marine Chain вдруг прекратились — а вместе с ними и деньги. В июле 2018 года Ким пропал, оставив Фунга с пачкой неоплаченных счетов. Фунг пытался связаться с Кимом, как и другие сотрудники Marine Chain, но тщетно. В сентябре 2018 года компанию ликвидировали. Ким же растворился так же таинственно, как и появился. Возможно, его спугнуло то, что стало всплывать о Marine Chain на интернет-форумах. Сетевые сыщики давно принюхивались к компании и делали тревожные заявления о том, что за ней стоит на самом деле — и кто тот таинственный человек, который её создал.

5 апреля 2018 года, как раз когда Marine Chain готовилась к регистрации, пользователь форума Reddit под ником Arsenalfan5000 опубликовал комментарий под заголовком «Marine Chain.io: северокорейская мошенническая валюта». Arsenalfan5000 указал, что сайт компании, судя по всему, попросту скопирован с сайта похожей фирмы. А затем добавил кое-что ещё более изобличающее: «Похоже, как минимум один из основателей — гражданин Северной Кореи, который прячется за фальшивым профилем в LinkedIn». Как пользователь Reddit сумел разглядеть северокорейский след, непонятно, особенно если учесть, какой завесой тайны окружил свою личность Тони Уокер, он же Жюльен Ким. Да и на эксперта Arsenalfan5000 не походил: аккаунт на Reddit оставил одну-единственную запись — этот комментарий о Marine Chain — и с тех пор не издал ни звука. Некоторые подозревают, что Arsenalfan5000 на самом деле прикрытие для кого-то, связанного со спецслужбами, — человека, который разбросал в сети хлебные крошки, чтобы по ним пошли другие. Ведь, как выяснилось, насчёт связи с Пхеньяном этот загадочный пользователь — кто бы он или она ни был — попал в яблочко.

Вскоре после того, как Marine Chain закрылась, другие тоже начали публиковать сведения, связывающие компанию с Северной Кореей17. У Фунга с этой страной была давняя история: его компания была связана как минимум с двумя северокорейскими грузовыми судами18.

Вполне логично, что следы мутной судоходной схемы вроде Marine Chain вели в Северную Корею. Чем глубже санкции врезались в связи режима с внешним миром, тем важнее становились морские перевозки как способ ввозить в страну запрещённые товары контрабандой. Поэтому судоходство оказалось и в центре внимания тех, кому поручено следить за соблюдением санкций против КНДР. Дважды в год Совет Безопасности ООН публикует доклад своей группы экспертов, которая пытается выявить любые попытки пхеньянского режима обойти санкции. Доклады занимают по несколько сотен страниц, и обычно около половины объёма посвящено обвинениям в том, что ограничения нарушают с помощью морских маршрутов. Подробности поражают: зернистые снимки ржавых контейнеровозов в открытом море, сделанные скрытой камерой; копии паспортов тех, кого обвиняют в организации контрабанды; страница за страницей ксерокопий грузовых манифестов. Для тех, кто следит за Северной Кореей, судоходство — настоящая навязчивая идея.

Всё это объясняет, зачем северокорейцу создавать под псевдонимом компанию для инвестиций в судоходство. Но не объясняет, как Жюльен Ким собирался использовать Marine Chain на благо режима. Ведь, судя по всему, он только тратил на неё деньги: нанимал дорогих консультантов и через Джонатана Фунг Ках Кеонга оплачивал прочие услуги. Может быть, Marine Chain была экспериментом, который не удался? Может, Ким понял, что схема инвестиций в судоходство на основе криптовалюты просто не сработает? Или его спугнули разговоры в интернете, связывавшие его и его компанию с Северной Кореей? Как бы то ни было, на этом история Жюльена Кима не закончилась: ему ещё предстояло сыграть ключевую роль в другой северокорейской схеме — на этот раз куда более успешной, чем Marine Chain.

И, как выясняется, Marine Chain всё же не была полным провалом: по данным ФБР, она кое-чему научила северокорейских хакеров. На свете полно людей, которых живо интересует всё, что связано с криптовалютой, и они готовы (как те, кто вошёл в команду Marine Chain) ввязаться в мутное предприятие в надежде разбогатеть. Этим группировка Lazarus и воспользуется в следующей волне своих высокотехнологичных преступлений.

Компания Celas Trade Pro появилась на криптовалютной сцене в мае 2018 года, через месяц после регистрации Marine Chain. Сайт Celas был выдержан в прохладных синих тонах — цвет, который так и излучает финансовую благонадёжность. Предложение было простым: пользователь скачивал программу, которая позволяла торговать криптовалютами — оседлать вихрь ценовых скачков, превращавший горстку счастливчиков в миллионеров. И действительно, после установки программа открывала солидный на вид интерфейс, через который начинающий финансист мог обменивать биткоины на доллары. Разумеется, для этого пользователю приходилось дать программе доступ к своему биткоин-кошельку — и тут-то проявлялась тёмная сторона Celas. В программе было скрытое дополнение: компьютерный вирус, который должен был вскрыть биткоин-кошелёк жертвы и украсть всё, что там лежало19.

На самом деле Celas была аферой, которую северокорейские хакеры затеяли, чтобы украсть ещё больше криптовалюты. Российская компания по кибербезопасности «Лаборатория Касперского» проанализировала вирус, который жертвы, сами того не подозревая, скачивали с сайта Celas, и обнаружила в нём вредоносную программу, которую прежде уже приписывали Lazarus20. (Вышло довольно иронично: на сайте Celas Trade Pro гордо красовался логотип «Лаборатории Касперского» рядом с логотипами McAfee, F-Secure и ESET — а ведь все эти компании по кибербезопасности годами расследовали деятельность Lazarus, и их логотипы использовали без их ведома и разрешения, чтобы сайт Celas выглядел солиднее.)

Для проекта Celas бойцы Lazarus стащили настоящую, легальную программу, сделали на её основе убедительную на вид торговую платформу и спрятали за ней свои вирусы. Затем они разослали сотрудникам криптобирж письма, расхваливая новый сервис Celas Trade Pro и уговаривая его попробовать, — в расчёте на то, что те скачают вирус, а он откроет хакерам Lazarus доступ к внутренним системам биржи и позволит группировке украсть её средства.

В августе 2018 года «Лаборатория Касперского» разоблачила Celas. Хакеров это, похоже, ничуть не смутило. Они просто меняли вывеску и двигались дальше — снова и снова.

По данным ФБР, в октябре 2018 года появилась WorldBit-Bot, а за