Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт
Исследователи с растущей тревогой наблюдают, как северокорейским кибервоинам приписывают всё более изощрённые атаки: от простейших приёмов — дефейса сайтов и сбоев в их работе — те перешли к сложнейшим налётам на крупные организации и финансовые учреждения по всему миру.
Как минимум с 2015 года киберкоманды КНДР атакуют банки: они освоили запутанный мир международных денежных переводов и крадут сотни миллионов долларов. Эксперты Совета Безопасности ООН (СБ ООН), который следит за возможными нарушениями санкций против Северной Кореи, приписали стране двадцать одну атаку на банки. В докладе 2019 года СБ ООН перечисляет пострадавшие учреждения и подробно описывает, как деньги переводили и отмывали. Картина получается головокружительная: хакеры словно без всякого труда облетают в сети весь земной шар. Они взламывают банк в ЮАР, крадут данные счетов и подделывают по ним карты, чтобы снимать наличные в Японии. Они грабят банк в Чили и перебрасывают деньги на счета в Гонконге, а чтобы отвлечь сотрудников, выводят из строя тысячи компьютеров. Они переводят деньги из банка на Мальте — и уже через несколько часов их снимают, чтобы купить часы Rolex и быстрые машины в Великобритании9.
Это преступность на острие прогресса: она не знает государственных границ, действует мгновенно, и, похоже, у её исполнителей почти нет шансов когда-нибудь попасться. А в 2018 году группировка, стоящая за этой всемирной волной преступлений, обратила внимание на малоизвестный, но очень богатый банк в Индии.
Кооперативный банк Cosmos, основанный в 1906 году, — второй по величине и второй по старшинству банк Индии10. Такие кооперативы создавались на рубеже XIX и XX веков, чтобы обслуживать сельскую экономику Индии, и часто работали на некоммерческой основе. На Западе их, пожалуй, назвали бы кредитными союзами. Но со временем некоторые из них превратились в современные финансовые компании со сложным устройством. Увы, по данным нескольких индийских источников в ИТ-отрасли, их информационная безопасность за этим не поспевала, и кое-какие кооперативы оказались роковым образом уязвимы для цифровых атак.
Сегодня кооперативный банк Cosmos работает в семи штатах Индии, а вклады в нём составляют 2 млрд долларов11. Его штаб-квартира — Cosmos Tower в Пуне, примерно в ста шестидесяти километрах от Мумбаи вглубь материка: двенадцатиэтажное здание из сверкающего серебристого металла и стекла. Здание обнесено высоким массивным забором, вход стерегут охранники. Впрочем, хакерам ни одна из этих мер безопасности не помешала. Путь, которым они проникли внутрь, без труда обошёл их все.
По словам источника в финансовой отрасли Индии, с сентября 2017 года сотрудникам отделений банка начали приходить тщательно составленные фишинговые письма. Точное их содержание так и не обнародовали, но, скорее всего, хакеры прибегли к избитым уловкам, чтобы соблазнить адресатов открыть письма, — например, выдали их за срочную финансовую информацию или заманчивое предложение о работе. Чтобы кто-то клюнул на такое письмо, часто достаточно взять числом: разошлите их побольше, и рано или поздно кто-нибудь проглотит наживку — щёлкнет по ссылке в письме или откроет вложение и, сам того не ведая, установит вирус, который даст хакерам доступ. За следующие несколько месяцев расчёт хакеров оправдался.
Проникнув в системы банка, взломщики начали тайком изучать сеть своей жертвы. Многое здесь могло быть им знакомо: по данным Совета Безопасности ООН, к тому времени северокорейские хакеры за два предыдущих года атаковали по меньшей мере четырнадцать банков, так что в подобных системах и программах они наверняка разбирались хорошо.
Однако на этот раз они попробовали кое-что новое и нацелились на программы, которые управляют снятием денег в банкоматах банка. Банкоматами почти все мы пользуемся не задумываясь, но за аппаратами в каждом банке и на каждой торговой улице мира стоит замысловатая система компьютерных проверок и контроля. С того момента, как вы вставили карту, и до того, как ушли с наличными, по всему земному шару туда и обратно проносятся десятки коротких сообщений — они следят за тем, чтобы нужный человек получил нужную сумму. Для хакеров, взявших на прицел кооперативный банк Cosmos, этот поток данных станет ключом к многомиллионному кушу.
Достаньте из кармана любую банковскую карту и взгляните на неё. Помимо названия банка, на ней почти наверняка где-нибудь есть логотип Visa, Mastercard или другой крупной финансовой компании. Это не просто реклама: данные этих компаний закодированы в карте, и когда вы вставляете её в банкомат на улице, на заправке или в супермаркете, аппарат первым делом проверяет, к какой платёжной системе относится карта. Когда вы набираете ПИН-код, он шифруется и отправляется в Visa, Mastercard и т. д. вместе с уникальным номером, по которому видно, в каком банке у вас счёт.
Платёжная система по идентификатору определяет банк и пересылает ему зашифрованный ПИН-код, а тот расшифровывает его и проверяет, верен ли он. Затем программа банка смотрит, какую сумму вы пытаетесь снять и хватает ли на это денег на вашем счёте. Если хватает, она через платёжную систему отправляет банкомату сообщение — добро на выдачу наличных.
Именно благодаря этой системе вы можете подойти практически к любому банкомату в мире, вставить карту и получить наличные, даже если банкомат принадлежит не тому банку, где у вас счёт. Платёжные системы вроде Visa и Mastercard занимают ключевое место в самой гуще миллиардов транзакций: они передают информацию туда и обратно между банкоматами и банками, чтобы операции одобрялись. Через регулярные промежутки времени проводятся взаиморасчёты, чтобы банкомат, который только что выдал вам 100 долларов, получил возмещение от банка, где у вас счёт.
Благодаря интернет-технологиям всё это происходит в мгновение ока. Почти никто из нас об этом даже не догадывается, а для подавляющего большинства операций система надёжна и безопасна. А всё потому, что у преступников, как правило, нет доступа к программам, которые ею управляют. Однако внутри кооперативного банка Cosmos хакеры к июлю 2018 года пробрались именно к этой программе, одобряющей операции в банкоматах. Теперь они контролировали, как системы Cosmos Bank обрабатывают каждое снятие наличных, и готовились внести незаметные изменения, которые позволят им перехватить управление системой и украсть миллионы долларов.
Хакеры могли бы просто подправить программу так, чтобы она одобряла любую поступающую операцию, даже не проверяя, верен ли ПИН-код и хватит ли у держателя карты денег. Однако это могло вызвать подозрения: если бы все клиенты Cosmos по всему миру вдруг смогли снимать сколько душе угодно, и без правильного ПИН-кода, очень скоро кто-нибудь в банке смекнул бы, в чём дело.
Вместо этого хакеры решили сузить круг, чтобы выгоду от