Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт

доступа к интернету, поэтому всё идёт через школу, — говорит Уильямс. — Уже в начальной школе выявляют детей со способностями к математике, и им дают больше заниматься на компьютерах. В старших классах теперь проводят ежегодный конкурс по программированию. Он идёт на уровне города, провинции и всей страны, так что отбирают лучших из лучших. Потом лучшие из них идут в профильные вузы. Некоторая часть попадает в военные хакерские школы. Есть система, чтобы находить лучших из лучших».

Помните Пак Чи Хён из главы 2 — женщину, которая бежала из Северной Кореи, а теперь выдвигается от Консервативной партии? Именно по этому пути шла её сестра, хорошо разбиравшаяся в компьютерах, пока «враждебный» социальный статус семьи не перечеркнул её шансы. У таких одарённых студентов обычно два пути: в итоге они работают либо над ядерной программой, либо над государственными хакерскими проектами. Специалисты по Северной Корее, такие как Присцилла Мориучи, видят в этих двух направлениях сходство: «Стратегия Северной Кореи в том, чтобы использовать свои асимметричные сильные стороны, находить инструменты национальной мощи, которые позволят уравнять шансы в борьбе с гораздо более сильными противниками на Западе. Программа баллистических ракет и ядерная программа были одним из таких асимметричных инструментов. Это своего рода „полёт на Луну“, [который позволяет] им уравнять шансы. Программа киберопераций — из того же ряда. Можно вложить в программу киберопераций сравнительно немного ресурсов и получить несоразмерно больший эффект».

Джареду Коэну и Эрику Шмидту этих возможностей, разумеется, не продемонстрировали. Тайная хакерская армия Северной Кореи — по некоторым оценкам, около 6000 человек²⁵ — действовала вдали от глаз иностранных гостей (так же, справедливости ради, как под покровом секретности работают и государственные хакеры в других странах, в том числе в Великобритании и США).

Когда в январе 2013 года Коэн и его спутники собрали чемоданы и покинули продуваемый ветрами Пхеньян, северокорейские хакеры уже готовились к удару, который, по словам следователей, превратит их врага на Юге в полигон для новой, опасной формы кибервойны. Близились дни Dark Seoul («Тёмный Сеул»).

К 2013 году кибератаки на южнокорейские цели, которые приписывали Северной Корее, были уже не в новинку. От Кавказа до Кашмира в большинстве горячих точек планеты онлайн-атак становилось больше — по мере того как планшеты и телефоны входили в повседневную жизнь каждого. Такие киберкампании стали просто ещё одним орудием в арсенале государств, которые отчаянно искали любую возможность хоть как-то уколоть врага, и Корейский полуостров не был исключением.

Многие из этих ударов принимали самую примитивную форму — распределённой атаки типа «отказ в обслуживании». Работает она так. Когда вы заходите на сайт, его составные части (фотографии, текст и так далее) хранятся где-то в интернете на компьютере, который называется сервером. Ваш браузер (будь то Chrome, Firefox, Safari или другой) отправляет через интернет сообщение серверу, запрашивает эти составные части и собирает из них сайт, который вы видите перед собой.

Серверы рассчитаны на определённый объём запросов. Если запросов слишком много, сервер не справляется и отключается — и сайт, по сути, перестаёт работать для всех. Это и есть распределённая атака типа «отказ в обслуживании» (или DDoS-атака). Кто-то сравнивает её с цифровой сидячей забастовкой, а некоторые специалисты по кибербезопасности называют это взломом разве что с натяжкой.

Именно так в основном и выглядели кибератаки, в которых подозревали Северную Корею, вплоть до 2013 года. Сайты некоторых государственных ведомств и крупных организаций Юга выводили из строя. Иногда на них устраивали дефейс — вывешивали издевательское послание. По большей части это была недолгая неприятность: как только атака стихала, сервер сайта восстанавливался. Мартовские события 2013 года были совсем другими. Это был целый день согласованных цифровых ударов, и нападавшие не просто вывели из строя несколько сайтов, а решили показать Южной Корее, что могут уничтожить компьютерные сети ключевых учреждений изнутри.

Их вирусы били в самое сердце каждого заражённого компьютера — в так называемую основную загрузочную запись (MBR). Когда вы включаете машину, именно MBR говорит ей, что делать и где искать операционную систему (например, Microsoft Windows), которая, в свою очередь, приводит в движение всё остальное. Запуск MBR — всё равно что щелчок выключателем, когда входишь в тёмную комнату. Нет MBR — по сути, нет и компьютера. Атака распространилась как лесной пожар. В среду, 20 марта 2013 года, в 14:00 цифровая тьма накрыла 32 000 компьютеров в двух крупных банках Южной Кореи и на трёх её крупнейших телеканалах²⁶.

Пока банки с трудом восстанавливали системы, сбоили банкоматы и онлайн-банкинг²⁷. Телеканалы смогли остаться в эфире: как выяснил Ван Сон Тхэк у себя на YTN, оборудование, обеспечивавшее вещание, было отделено от компьютеров, поражённых вирусом. И всё же на то, чтобы полностью вернуть системы в рабочее состояние, у них ушли дни. Но в конечном счёте атаку удалось пережить, и большинства людей она почти не коснулась. Жизнь вернулась в прежнее русло. Даже когда правительство Южной Кореи обвинило в атаке Север, особого потрясения у населения это не вызвало. Как отмечает Ван, люди восприняли её на фоне других инцидентов, которые вполне могли казаться более насущными. За несколько лет до этого Север и Юг дошли до настоящей перестрелки во время обострения вокруг одного южнокорейского острова, и тогда погибли четверо южнокорейцев²⁸.

Но специалистов по кибербезопасности в мартовских кибератаках 2013 года тревожило другое — резкая эскалация тактики и слаженность удара.

В военных кругах говорят о «пяти D» — наборе стратегий, которые агрессор может применить против противника: deny, degrade, disrupt, deceive, destroy, то есть лишить доступа, ослабить, нарушить работу, обмануть и уничтожить²⁹. Атаковавшие Южную Корею в 2013 году сразу перескочили на высшую ступень этой лестницы: речь шла уже не о досадной недоступности сайта в течение нескольких часов, как при DDoS-атаке. Сотрудники пострадавших организаций в растерянности смотрели, как чернеют их экраны. Программное обеспечение пришлось кропотливо восстанавливать — машину за машиной.

Ровно в то же время, когда атаке подвергались внутренние системы банков и телеканалов, удар пришёлся и по сайту южнокорейского мобильного оператора LG Uplus³⁰. Его главную страницу заменила странная китчевая картинка — черепа с красными глазами под заголовком «Hacked by Whois Team»³¹. Ни одна хакерская группа раньше не называла себя «Командой Whois» (Whois Team) — и с тех пор это имя не появлялось.

На следующий день в сети появилось послание, авторы которого взяли на себя ответственность за атаки на банки и телеканалы. Оно гласило (sic): «Привет, Дорогие Друзья, Мы очень рады проинформировать вам следующую новость. Мы, NewRomantic Cyber Army Team, верифицировали наш #OPFuckKorea2003. Мы имеем теперь