Tiivistelmän esikatselu
Lazarus: Pohjois-Korean Salainen Kyberarmeija, Joka Varastaa Miljardeja
Kuvittele maa, jossa 25 miljoonaa ihmistä ei ole koskaan nähnyt internetiä. Kuulostaa scifi-leffan juonelta, mutta tämä on todellisuutta. Ja juuri tässä maassa operoi noin 8 000 hakkeria. He eivät tiedä, mitä YouTube on, eivätkä ole koskaan avanneet Googlea, mutta viimeisen kymmenen vuoden aikana he ovat onnistuneet varastamaan yli 7 miljardia dollaria. Se on summa, joka ylittää joidenkin valtioiden bruttokansantuotteen. Ja jokainen varastettu sentti muuttuu pohjimmiltaan ydinaseen ammuksiksi. Nimeni on Mr. Darkweb, ja tänään kerron teille Lazarus-ryhmästä – todellisesta hakkeriarmeijasta, joka saattaa juuri nyt olla lompakkosi sisällä.
Alku: Sattumalta löytynyt vihje ja hälyttävä merkki
Tämä tarina alkoi minulle täysin sattumalta vuoden 2024 lopulla. Kaivelin tietoja yhden suuren pimeän verkon foorumin tietovuodoista, keräten tietoa Kaakkois-Aasian finanssihuijauksista. Rutiinia, ei mitään erikoista. Mutta kymmenien tiedostojen joukossa oli yksi, johon en aluksi kiinnittänyt huomiota. Se oli pieni tekstitiedosto, kirjoitettu kömpelöllä englannilla, ilman otsikkoa tai allekirjoitusta. Sisällä oli lista lompakoista, päivämääriä, siirtosummiä ja lopussa lisäys, jonka saattoi kääntää suunnilleen näin: "Älä koskaan koske näihin osoitteisiin. Ne eivät ole ihmisiä, ne ovat valtio." En silloin ymmärtänyt, mistä oli kyse. Ajattelin, että kyseessä oli jonkun vainoharhaisuutta tai vitsi. Tallenin tiedoston ja unohdin sen. Mutta kaksi kuukautta myöhemmin, helmikuussa 2025, tapahtui jotain, minkä jälkeen tuo lause ei enää tuntunut vitsiltä. Maailman suurimmalta kryptopörssiltä katosi yön aikana 155 miljardia dollaria. Ilman salasanojen murtoa, ilman tietojenkalastelua, ilman ainoatakaan virhettä uhrin puolelta. Ja kun FBI nimesi syylliset – Lazarus Group – muistin sen tiedoston. Avaasin sen, vertasin osoitteita viraston julkaisemiin. Neljä viidestäkymmenestäyhestä osui kohdalleen. Tästä hetkestä aloin kaivaa, ja mitä syvemmälle menin, sitä kauhistuttavammaksi kuva muuttui. Lazarus ei ole vain hakkeriryhmä perinteisessä mielessä. Se ei ole joukko huppupäisiä harrastelijoita kellarissa tai anonyymejä chatista, jotka päättivät tehdä rahaa. Se on kokonaisen valtion – planeetan sulkeutuneimman maan, Pohjois-Korean – kyberjoukko. Maa, joka virallisesti kieltää heidän olemassaolonsa, mutta samalla rakentaa heidän työnsä varaan koko rakettiohjelmansa. Yhdysvaltain oikeusministeriö kutsuu Lazaria globaalin kyberturvallisuuden horjuttamisen ja kansainvälisten pakotteiden rikkomisen kautta laittoman tulon generoinnin välineeksi. Tämän kuivan määritelmän takana piilee todellisuus, joka saa kylmät väreet juoksemaan selkäpiitä pitkin. Lazarus oli vastuussa hyökkäyksestä Sony Picturesiin vuonna 2014, Bangladeshin keskuspankin ryöstöstä vuonna 2016, WannaCry-viruksesta, joka halvaannutti sairaaloita 150 maassa vuonna 2017, ja kymmenistä kryptovarkauksista, joiden kokonaissumma ylittää 7 miljardia dollaria. Vietin tämän tutkinnan parissa useita kuukausia, kävin läpi satoja dokumentteja: oikeusministeriön syytteitä, FBI:n raportteja, kryptoyhtiöiden Chainalysis ja Elliptic analyysejä, Pohjois-Koreasta loikanneiden todistajien lausuntoja, YK:n asiantuntijaryhmän materiaaleja sekä suljettuja keskusteluketjuja pimeän verkon foorumeilla. Ja mitä enemmän luin, sitä selvemmin ymmärsin: se, mitä Lazarus tekee, on vailla vertaa. Historiassa ei ole ollut mitään vastaavaa. Mikään maa maailmassa ei ole koskaan rakentanut talouttaan hakkerihyökkäysten varaan. Mutta Pohjois-Korea on rakentanut. Tämä on tarina valtiollisesta terrorismista, joka on naamioitu kyberrikollisuudeksi. Maasta, joka on muuttanut parhaat matemaatikkonsa varkaiksi. Ihmisistä, jotka valitaan
Suurin kryptovaluuttaryöstö: BYBIT-pörssin hakkerointi
helmikuuta 2025, perjantai. Dubai. BYBITin – yhden maailman suurimmista kryptopörsseistä – toimisto. Tavallinen työpäivä. Rutiinitoimenpide: varojen siirto kylmästä lompakosta kuumaan. Proseduuri, jonka työntekijät olivat suorittaneet kymmeniä kertoja. Kolme allekirjoitusta useista vahvistuksista. Kaikki protokollan mukaan. Näytöllä standardi Safe Wallet -käyttöliittymä, moniallekirjoituspalvelu, jota tuhannet yritykset käyttävät ympäri maailmaa. Summa, vastaanottajan osoite, vahvistuspainike. BYBITin toimitusjohtaja Ben Zhou katsoi näyttöä. Kaikki näytti täydelliseltä. Hän painoi "Vahvista". Vielä kaksi työntekijää teki samoin. 40 minuutin kuluttua 401 347 Ethereum-yksikköä, lähes puolitoista miljardia dollaria, oli kadonnut. Ei väärään osoitteeseen, ei väärään lompakkoon, ei väärään maahan. On tärkeää ymmärtää: kukaan ei tehnyt virhettä. Järjestelmä ei pettänyt. Salasanoja ei varastettu. Työntekijät eivät klikanneet tietojenkalastelulinkkiä. He tekivät täsmälleen sen, mitä heidän piti tehdä. Ja juuri tätä odottivat ne, jotka olivat näytön toisella puolella. Mitä todella tapahtui? Muutamaa päivää ennen hyökkäystä hakkerit olivat vaarantaneet Safe Walletin – ei BYBITin, vaan itse vahvistuksen läpi kulkeneen alustan – yhden kehittäjän tietokoneen. He eivät murtaneet suojausta suoraan, eivät arvanneet salasanoja, eivät etsineet koodin haavoittuvuuksia. He tunkeutuivat sisään ihmisen kautta. Sosiaalinen manipulointi: puhelu, sähköposti, kutsukortti konferenssiin tai väärennetty työhaastattelu. Tarkka menetelmä on edelleen salattu, mutta Safe Ecosystem Foundationin mukaan vaarantuminen tapahtui kehittäjän työaseman kautta. Päästyään käsiksi hänen koneeseensa hakkerit varastivat istuntotunnisteita – väliaikaisia avaimia, jotka sallivat kirjautumisen yrityksen pilvipalveluun ilman salasanan uudelleen syöttämistä. Näin he kiersivät kaksivaiheisen tunnistautumisen. He laskivat ajoituksen, työskentelivät samoina tunteina kuin kehittäjä, jotta eivät herättäisi valvontajärjestelmien epäilyksiä. Ja sitten, 19. helmikuuta, 2 päivää ennen hyökkäystä, he vaihtoivat yhden ainoan tiedoston – JavaScript-koodin fragmentin, joka vastasi transaktioiden näyttämisestä. Tämä tiedosto pääsi palvelimelle Safe Walletin virallisen verkkotunnuksen kautta. Se toimi täydellisesti kaikille käyttäjille, paitsi yhdelle. Paitsi BYBITille. Puolitoista miljardia, eikä kukaan huomannut siirron hetkellä? Kuulostaa huonolta juonelta, mutta juuri näin se toimii. Kun olet tottunut painamaan "Vahvista" joka päivä, ja kaikki sujuu aina normaalisti, et tarkista jokaista pikseliä ruudulla. Tämä ei ole huolimattomuutta, vaan luottamusta järjestelmään, jota tuhannet yritykset käyttävät. Ja Lazarus ei murtanut järjestelmää, se murti tämän luottamuksen. Vaihdettu koodi näytti BYBITin työntekijöille yhden asian, mutta lähetti jotain aivan muuta. Heidän allekirjoituksistaan laitteistolompakoissa tuli jotain, mitä tietoturva-asiantuntijat myöhemmin kutsuivat "sokeaksi allekirjoitukseksi". He
Rahoitusta rakettiohjelmalle: Rahaa kyberavaruudesta
Vuonna 2024 lakkautetun YK:n asiantuntijaryhmän arvioiden mukaan jopa 40% Pohjois-Korean ydin- ja rakettiohjelmien rahoituksesta tulee kybervarastetuista varoista. 40% – ei hiilen kaupasta, ei aseiden myynnistä, ei liittolaisten avusta, vaan varastetusta kryptovaluutasta. Tämä ei ole journalistinen hypoteesi. Se on kansainvälisen komission päätelmä, joka työskenteli turvallisuusneuvoston mandaatin alaisena. BYBITistä varastetut puolitoista miljardia eivät ole rikosta voiton vuoksi. Ne ovat merkintä valtion budjetissa, jota virallisesti ei ole olemassa. Vain vuonna 2025, Chainalysis-analyysialustan mukaan, Pohjois-Korean kanssa yhteydessä olevat hakkerit varastivat yli 2 miljardia dollaria, 51% enemmän kuin edellisenä vuonna. Yhteensä vuodesta 2019 vuoden 2025 loppuun – 6,75 miljardia dollaria. Se on 76% kaikista maailman kryptovarkauksista. Kolme neljäsosaa – yksi maa, yksi operaattori. Elliptic-analyysiyhtiö, joka tutki hakkerointia, muotoili sen näin: "Lazarus Group ei ole valtion tukema ryhmittymä perinteisessä mielessä. Lazarus on Pohjois-Korea, ja Pohjois-Korea on Lazarus. Rajaa hakkerien ja hallinnon välillä ei ole, ei aukkoa. Se on yhtenäinen organismi." Ja tässä alkaa tarinan synkin osa. Koska ymmärtääkseen, miten yksi maailman köyhimmistä ja eristyneimmistä maista oppi varastamaan miljardeja, on palattava 20 vuotta taaksepäin, paikkaan, josta lähes kukaan ei tiedä. Paikkaan, jossa lapset valitaan koulussa. Ei urheilusaavutusten, ei musiikillisen lahjakkuuden perusteella, vaan kyvyn ratkaista matemaattisia tehtäviä nopeimmin. Ja jossa näistä lapsista tehdään sotilaita, jotka eivät koskaan ota asetta käteensä, mutta aiheuttavat enemmän vahinkoa kuin mikään armeija.
Kyberjoukkojen synty: Kim Il-sungista Buro 121:een
Vuonna 1996 Kim Jong-il, silloinen Pohjois-Korean johtaja, vieraili armeijan etulinjassa. Etelä-Korean tiedusteluraporttien säilyneiden todistusten mukaan hän lausui lauseen, joka määritteli hänen maansa seuraavat 30 vuotta: "Kaikki tulevaisuuden sodat ovat tietokonesotija." Vuosi 1996. Internet tuskin oli olemassa. Suurin osa planeetan ihmisistä ei tiennyt, mitä sähköposti on, ja yhden maailman köyhimmän maan johtaja oli jo ymmärtänyt, että näppäimistö on vaarallisempi kuin panssarivaunu. Myöhemmin, 2000-luvulla, hän ilmaisi asian vielä tiukemmin. C4ADS-järjestön tutkijoiden, jotka viittaavat Etelä-Korean tiedustelumateriaaleihin, mukaan Kim Jong-il totesi, että kyberhyökkäykset ovat kuin atomipommit. "Sota voitetaan sillä, joka saa rauhan aikana enemmän pääsyä vihollisen sotilaallis-tekniseen tietoon". Hän ei vitsaillut, hän rakensi armeijaa. Vuonna 1998 perustettiin Buro 121 – kybersodankäynnin yksikkö yleisen tiedusteluhallinnon (GRU) sisällä. Tämä ei ole vastaava kuin jokin IT-osasto. Se on täysimittainen sotilasrakenne, joka on alistettu Kolmannelle teknisen valvonnan toimistolle – Pohjois-Korean kaikkien kyberoperaatioiden pääelimelle. Varhaisten arvioiden mukaan Buro 121:ssä työskenteli noin 1800 asiantuntijaa. Vuoteen 2014 mennessä Etelä-Korean NIS-virasto nosti tämän luvun 5900:aan. Nyt Wall Street Journalin mukaan puhutaan 8000 vakinaisesta hakkerista, jotka on järjestetty sotilasyksiköihin. Mutta mistä maassa ilman internetiä tulee hakkereita? Vastaus on yksinkertainen ja samalla pelottava. Heitä kasvatetaan lapsesta asti. Koko Pohjois-Korean alueella toimii yhdeksänkymmentäluvulla kehitetty valintajärjestelmä. Lahjakkaille tarkoitetuissa keski- ja yläkouluissa on tietokoneita. Loikkareiden todistusten mukaan ne olivat vielä äskettäin Pentium 4 -tason koneita. Opettajat seuraavat lapsia, joilla on poikkeuksellisia matemaattisia kykyjä. Parhaat lähetetään erikoisyliopistoihin. Päällikkö näistä on Mirim College, joka tunnetaan myös Pjongjangin automaatioyliopistona. Se valmistuu vuosittain noin 100 hakkeria. Chang Se-yul, loikkari, joka opiskeli Mirimissä ja pakeni myöhemmin Etelä-Koreaan, kertoi, miltä opiskelu näytti: kuusi 90 minuutin tuntia päivässä. Ohjelmointikielet C:stä assemblyyn, Linux- ja Windows-käyttöjärjestelmät. Valtava määrä aikaa käytettiin Microsoft Windowsin arkkitehtuurin purkamiseen: miten se on rakennettu, missä ovat haavoittuvuudet, miten siihen tunkeudutaan. Viisi vuotta valmistautumista, ilman vapaapäiviä perinteisessä mielessä, ilman vapaata internetiä, vain opiskelua ja harjoittelua. Mirimin vieressä toimivat Kim Il-sungin yliopisto, Kim Chäkin teknillinen yliopisto ja Moranbongin yliopisto. Sinne lähetetään kaikkein lahjakkaimmat. Kim Hyong-gwan, entinen tietotekniikan professori, joka opetti 19 vuotta Hamhungin korkeakouluissa ja koulutti tulevia kybersotilaita, kertoi paettuaan Etelä-Koreaan, että hänen parhaat opiskelijansa matkustivat harjoitteluun Kiinaan, erityisesti Shenyangin kaupunkiin, jossa toimi
Hyökkäys Sony Picturesiin: Kosto komediasta
Aamu 24. marraskuuta 2014 jäi ikuisesti Sony Pictures Entertainmentin työntekijöiden mieliin. Ihmiset tulivat töihin ja huomasivat, että heidän tietokoneensa olivat kuolleet. Näytöillä oli kuva punaisesta luurangosta ja teksti ryhmältä, joka kutsui itseään Guardians of Peace ("Rauhan Vartijat"). Teksti oli yksinkertainen: "Otimme kaiken. Jos ette täytä vaatimuksiamme, julkaisemme sen." Se ei ollut liioittelua. Hakkerit olivat olleet Sonyn verkossa vähintään 2 kuukautta, joidenkin tietojen mukaan jopa vuoden. Tänä aikana he kopioivat yli 100 Tt dataa: sisäiset johdon sähköpostit, talousasiakirjat, työntekijöiden henkilötiedot (sosiaaliturvatunnukset, lääketieteelliset tiedot, palkat), vielä julkaisemattomat elokuvat, tulevien projektien käsikirjoitukset. Ja sitten he aktivoivat haittaohjelman, joka tuhosi noin 70% yrityksen palvelininfrastruktuurista. Kiintolevyt ylikirjoitettiin, käynnistyslevyt tyhjennettiin, tietokoneista tuli "tiiliä". Syy: komedia. Elokuva "The Interview" Seth Rogenin ja James Francon kanssa. Satiiri, jossa kaksi toimittajaa värvätään CIA:n toimesta tappamaan Kim Jong-un. Elokuva, jota tuskin kukaan muistaisi puolen vuoden kuluttua, jos ei Lazarus olisi puuttunut peliin. "Rauhan Vartijat" vaativat Sonyä perumaan ensi-illan ja alkoivat sitten uhata terrori-iskuilla elokuvateattereissa, jotka esittäisivät elokuvan. Suurimmat amerikkalaiset ketjut kieltäytyivät esittämästä sitä. Sony ensin perui ensi-illan, sitten yleisön painostuksesta lopulta julkaisi elokuvan rajoitetussa esityksessä ja verkossa. 19. joulukuuta 2014 FBI ilmoitti virallisesti: "Pohjois-Korea on hyökkäyksen takana". Presidentti Obama piti julkisen puheen, kutsuen hakkerointia "ei sotatoimeksi, vaan vakavaksi kansallisen turvallisuuden iskuksi". Yhdysvallat asetti lisäpakotteita. Ja minä, kun tutkin tätä tapausta, mietin seuraavaa: valtio hyökkäsi yksityistä yritystä vastaan komedian vuoksi. Ei tiedustelutietojen, ei sotilassalaisuuksien, vaan vitsin vuoksi. Ja aiheutti vahinkoa, jonka Sony arvioi 15 miljoonaksi dollariksi pelkästään ensimmäisellä neljänneksellä, mainehaitat ja työntekijöiden tietovuodoista johtuneet oikeusjutut pois lukien. Mutta kaikkein osoittavin on se, että Lazarus käytti tätä hakkerointia harjoituksena: testasi menetelmiä, tarkisti infrastruktuuria, tutki reaktiota. Koska seuraava kohde oli aivan eri mittal