Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт

и приняли решительные меры. Они на два дня отключили весь онлайн-банкинг и заблокировали снятие наличных в банкоматах. Настоящие клиенты оказались в растерянности: их операции не проходили, а получить наличные было негде. В такой стране, как Индия, где доступ к банковским услугам ограничен, а низкооплачиваемые работники традиционно живут только наличными, это наверняка стало особенно серьёзной бедой¹⁷. Позже председатель правления Cosmos Милинд Кале записал на YouTube обращение, пытаясь успокоить клиентов и инвесторов. «Положение банка очень устойчивое, — сказал он. — Наша банковская система очень надёжна, и мы способны справиться с этой ситуацией»¹⁸.

Хакеры не давали передышки: пока банк Кале лихорадочно разбирался с банкоматами, они уже готовили очередной налёт на его финансы.

Изучая внутренние системы Cosmos, хакеры заодно получили доступ к системе под названием SWIFT. SWIFT — Общество всемирных межбанковских финансовых каналов связи — это, как следует из названия, способ, которым банки всего мира обмениваются сообщениями. Миллиарды долларов перемещаются между финансовыми учреждениями по SWIFT-сообщениям.

Почему банки готовы отправлять такие огромные суммы, опираясь лишь на SWIFT-сообщение? Потому что исходят из того (в большинстве случаев справедливо), что сообщение подлинное: прийти оно может только от кого-то, кто работает внутри другого банка. Мы же с вами не можем просто установить программу SWIFT на домашний компьютер и начать требовать деньги у банков всего мира.

Разумеется, эта логика уже не столь безупречна, если хакерам удаётся взломать банк и шаг за шагом пробраться к системе SWIFT, — а именно так всё и вышло с кооперативным банком Cosmos.

Через два дня после атаки на банкоматы, когда в банке ещё судорожно пытались осознать масштаб ограбления и понять, как оно было устроено, хакеры нанесли новый удар: с помощью SWIFT-сообщений они перевели 2 млн долларов на счёт гонконгской компании¹⁹. На этот раз банк сообразил быстрее — по его словам, платёж удалось отследить всего за пятнадцать минут. Поскольку часть денег ещё оставалась в финансовой системе, банк Cosmos сумел кое-что вернуть — половину украденного.

А вот деньги, снятые в банкоматах, давно уплыли. Мало того что у банка похитили около 11 млн долларов, — в довершение всех бед он лишился ещё и 500 000 долларов комиссионных, которые обычно получал бы за такие снятия²⁰. Как покрыли убытки, неясно. У банка есть страховые полисы, но его представители, рассуждая о взломе, о них ни разу не упоминали. Возможно, в конце концов косвенно расплачиваться придётся клиентам — повышенными комиссиями и тому подобным²¹.

Тем временем дропам, которые сделали в Индии всю чёрную работу, недолго пришлось радоваться выигрышу. Уже через несколько недель полиция начала аресты. Изучив записи камер видеонаблюдения у банкоматов, полицейские сумели установить личности нескольких подозреваемых. Помогло и то, что для некоторых задержанных это был не первый подобный обнал. По словам полиции, четверо подозреваемых ещё годом раньше попали на камеры, когда незаконно выводили деньги из другого индийского банка — City Union в Ченнаи²².

Постепенно полицейская сеть расширялась, в неё попадали предполагаемые дропы из Мумбаи и окрестных пригородов. На момент написания книги никому из них обвинений так и не предъявили. И, пожалуй, важнее другое: аресты в Индии застопорились на уровне дропов. Индийская полиция полагала, что вычислила ключевую фигуру выше по цепочке — человека, живущего на Ближнем Востоке, — но дальше продвинуться ей не удалось.

В каком-то смысле банку повезло: киберподразделение полиции Махараштры считается одним из лучших в стране (отчасти потому, что в штате сосредоточено множество финансовых учреждений). Но даже при всём следственном опыте его сотрудники встали в тупик перед ошеломляюще глобальным размахом кражи. Пострадали больше двух десятков стран, и подразделению предстояла гора бумажной работы, чтобы добыть сведения о том, кто стоит за кампанией по обналичиванию. Хакеры, атаковавшие Cosmos Bank, почти наверняка это знали и нарочно рассеяли банды банкоматных обнальщиков по множеству стран мира, чтобы сорвать любые попытки их выследить.

Что же до того, кто изначально взломал банк и затеял всё ограбление (и кому, надо полагать, причиталась немалая часть украденного), — здесь местной полиции пришлось ещё тяжелее. «Тревожит то, что они замели все следы, не оставив никаких улик; всё хорошо спланировано», — сказал Бриджеш Сингх, генеральный инспектор полиции штата Махараштра, возглавлявший её специальную следственную группу²³. Это обычная тактика хакеров: закончив работу, они тщательно удаляют использованные вредоносные программы, а заодно и цифровые записи жертвы о том, что и когда происходило.

Пусть индийские правоохранители и бились над вопросом, кто стоит за налётом на кооперативный банк Cosmos в августе 2018 года, но американские ведомства с их немалыми ресурсами, похоже, снова оказались на шаг впереди. В октябре Агентство по кибербезопасности и защите инфраструктуры (CISA) выпустило предупреждение о преступной кампании, которую там окрестили FASTCash. Говоря сухим языком американских киберполицейских, она «была нацелена на инфраструктуру розничных платёжных систем в банках с целью обеспечения мошеннического снятия наличных в банкоматах через государственные границы». Иными словами, FASTCash охотилась на банкоматы по всему миру²⁴.

По данным CISA, банда FASTCash атаковала банки в Азии и Африке и украла десятки миллионов долларов, в том числе во время «инцидента в 2018 году», когда наличные одновременно сняли в банкоматах десятков стран. Для многих исследователей в области безопасности это почти не оставляло сомнений: теперь США возлагали вину за взлом Cosmos на тех, кто стоит за FASTCash.

В CISA считали, что это дело рук Hidden Cobra — под таким кодовым именем американские правоохранители знают северокорейских государственных хакеров. Специалисты по безопасности дали им ещё более загадочное прозвище — за умение выживать внутри компьютерных сетей своих жертв, словно воскресший из мёртвых библейский Лазарь: группировка Lazarus. Именно эти кибервойска, утверждают специалисты, тайком пробрались в Cosmos, подправили программу банкоматов, чтобы она одобряла тысячи мошеннических снятий, а затем попытались с помощью SWIFT отправить в Гонконг ещё миллионы долларов.

Но если за ограблением кооперативного банка Cosmos, как, судя по всему, подозревает правительство США, действительно стоит Северная Корея, остаются серьёзные вопросы. Как изолированный режим сумел скоординировать десятки дропов по всему миру и отправить их к банкоматам в столь узкое временное окно? И как, когда дело было сделано, Пхеньян прибрал к рукам миллионы долларов, которые извергли банкоматы?

Те, кто следит за новейшей историей режима, считают, что знают ответы: по их словам, Северная Корея десятилетиями налаживала связи с преступным миром — отчасти из-за череды катастроф, обрушившихся на страну начиная с 1990-х годов. Эти события довели КНДР до отчаянной нужды в деньгах и толкнули её на путь всё более острого киберпротивостояния.

Благодаря этим подпольным связям — и в сети, и в реальном мире —