Саммари үзіндісі
Лазарус: Солтүстік Кореяның миллиардтарды жымқырған хакерлік армиясы
Елімізде 25 миллион адам интернетті көрмегенін елестетіп көріңіз. Бұл фантастикалық фильмнің сюжеті сияқты көрінеді, бірақ бұл – шындық. Міне, осы елде шамамен 8 мыңдай хакер жұмыс істейді. Олар YouTube дегенді білмейді, Google-ды ешқашан ашпаған, бірақ соңғы 10 жылда олар 7 миллиард доллардан астам ақшаны жымқыра алды. Бұл кейбір мемлекеттердің ЖІӨ-нен асатын сома. Ұрланған әрбір тиын, шын мәнінде, ядролық оқтұмсыққа айналады. Менің атым – Мистер Дарквеб, және бүгін мен сіздерге Lazarus тобы туралы айтып беремін – бұл қазір сіздің әмияныңызда болуы мүмкін нағыз хакерлік армия.
Басталуы: Кездейсоқ табылған мәлімет пен алаңдатарлық белгі
Бұл оқиға мен үшін 2024 жылдың соңында кездейсоқ басталды. Мен Оңтүстік-Шығыс Азиядағы қаржылық схемалар туралы ақпарат жинап, бір ірі қараңғы форумдағы деректердің ағып кетуін тексеріп жүргенмін. Қалыпты жағдай, ерекше ештеңе жоқ. Бірақ ондаған файлдардың ішінен мен бір файлға тап болдым, оған алғашында мән бермедім. Бұл ағылшын тілінде, нашар жазылған, тақырыбы мен авторы жоқ шағын мәтіндік құжат еді. Ішінде – кошелектердің тізімі, күндер, аударым сомалары және ең соңында, былай аударылуы мүмкін жазба: "Бұл адрестерге ешқашан тиіспеңдер. Бұл адамдар емес, мемлекет". Мен сол кезде түсінбедім. Біреудің паранойясы немесе әзілі шығар деп ойладым. Файлды сақтап, ұмытып кеттім. Бірақ екі айдан кейін, 2025 жылдың ақпанында, бұл сөздің әзіл емес екенін түсіндіретін оқиға болды. Әлемдегі ең ірі криптобиржадан бір түнде 155 миллиард доллар жоғалып кетті. Парольді бұзбай, фишингсіз, жәбірленуші тарапынан бірде-бір қателіксіз. Ал ФБР кінәлілерді атағанда – Lazarus Group – мен сол құжатты есіме алдым. Оны ашып, бюро жариялаған адрестермен салыстырдым. Елу бірдің төртеуі сәйкес келді. Осы сәттен бастап мен тереңірек зерттей бастадым, және неғұрлым тереңдеген сайын, сурет соғұрлым қорқынышты бола түсті. Lazarus – бұл тек қалыпты түсініктегі хакерлік топ емес. Бұл жертөледе капюшон киген энтузиастар тобы емес, табыс тапқысы келген чаттағы анонимдер емес. Бұл бүкіл бір мемлекеттің киберәскері – Солтүстік Кореяның. Планетадағы ең жабық ел, олардың бар екенін ресми түрде жоққа шығарады, бірақ өздерінің бүкіл зымыран бағдарламасын олардың жұмысына негіздейді. АҚШ Әділет министрлігі Lazarus-ты жаһандық киберқауіпсіздікті бұзудың және халықаралық санкцияларды бұза отырып, заңсыз табыс табудың құралы деп атайды. Бұл құрғақ формулировканың артында жүректі қорқынышқа бөлейтін шындық жатыр. Lazarus 2014 жылы Sony Pictures-ке жасалған шабуылдың, 2016 жылы Бангладеш Орталық банкін тонаудың, 2017 жылы 150 елдегі ауруханаларды тоқтатқан WannaCry вирусының және жалпы сомасы 7 миллиард доллардан асатын ондаған крипто ұрлықтарының артында тұр. Мен бұл тергеуге бірнеше ай жұмсадым, жүздеген құжаттарды ақтардым: Әділет министрлігінің айыптау қорытындылары, ФБР есептері, Chainalysis және Elliptic блокчейн компанияларының аналитикасы, КХДР-дан ауып келгендердің куәліктері, БҰҰ сарапшылар тобының материалдары, сондай-ақ қараңғы форумдардағы жабық талқылаулар. Мен неғұрлым көп оқыған сайын, соғұрлым анық түсіндім: Lazarus жасайтынының баламасы жоқ. Тарихта мұндай болмаған. Ешбір мемлекет әлемде өзінің экономикасын хакерлік шабуылдарға негіздемеген. Ал Солтүстік Корея негіздеді. Бұл – киберқылмысқа жасырылған мемлекеттік терроризм туралы әңгіме. Өздерінің ең үздік математиктерін ұрыларға айналдырған ел туралы. Мектепте таңдалып, арнайы жасақ сияқты дайындалып, шетелге жіберіліп, бір тиынын өзіне қалдыруға құқығы болмай миллиардтарды ұрлайтын адамдар туралы. Ал мен басынан емес, соңынан бастаймын – криптовалюта тарихындағы ең ірі тонаудан. Өйткені, дәл сол осы машинаның неге
Криптовалюта тарихындағы ең ірі тонау: BYBIT-ті бұзу
21 ақпан 2025 жыл, жұма. Дубай. BYBIT кеңсесі – әлемдегі ең ірі криптовалюта биржаларының бірі. Қалыпты жұмыс күні. Рутинная операция: қаражатты суық кошелектен ыстық кошелекке аудару. Қызметкерлер ондаған рет орындаған процедура. Бірнеше растаудың үшеуі қол қою. Барлығы протокол бойынша. Экранда – Safe Wallet стандартты интерфейсі, бүкіл әлемде мыңдаған компаниялар қолданатын мультиподпис платформасы. Сома, алушының мекенжайы, растау батырмасы. Бас директор Бен Чжоу экранға қарады. Бәрі тамаша көрінді. Ол "Растау" батырмасын басты. Тағы екі қызметкер де соны істеді. 40 минуттан кейін 401 347 Ethereum бірлігі, шамамен полтора миллиард доллар, жоғалып кетті. Дұрыс емес мекенжайға, дұрыс емес кошелекке, дұрыс емес елге емес. Маңызды нәрсені түсіну қажет: ешкім қателік жібермеді. Жүйе істен шықпады. Парольдер ұрланбады. Қызметкерлер фишингтік сілтемеге баспады. Олар дәл өзі істеу керек болған нәрсені істеді. Ал экранның арғы жағында тұрғандар дәл осыны күткен еді. Шын мәнінде не болды? Шабуылдан бірнеше күн бұрын хакерлер Safe Wallet платформасының – BYBIT емес, растау арқылы өткен платформаның – бір әзірлеушісінің компьютерін бұзды. Олар қорғанысты тікелей бұзбады, парольдерді алмады, кодтағы кемшіліктерді іздемеді. Олар адам арқылы кірді. Әлеуметтік инженерия: қоңырау, хат, конференцияға шақыру немесе жалған сұхбат. Нақты әдіс әлі де құпия болып қалуда, бірақ Safe Ecosystem Foundation мәліметтері бойынша, әзірлеушінің жұмыс станциясы арқылы бұзушылық болған. Оның компьютеріне қол жеткізгеннен кейін, хакерлер сессиялық токендерді – компанияның бұлттық қызметіне парольді қайта енгізбей кіруге мүмкіндік беретін уақытша кілттерді – ұрлады. Осылайша олар екі факторлы авторизацияны айналып өтті. Олар уақытты есептеп, әзірлеушімен бірдей уақытта жұмыс істеді, мониторинг жүйелерінің күдігін тудырмас үшін. Ал кейін, 19 ақпанда, шабуылдан 2 күн бұрын, транзакциялардың көрсетілуіне жауапты JavaScript кодының бір фрагментін – тек бір файлды – ауыстырды. Бұл файл Safe Wallet-тің ресми домені арқылы серверге түсті. Ол барлық пайдаланушылар үшін тамаша жұмыс істеді, тек біреуді қоспағанда. BYBIT-ті. Жарты миллиард доллар, және ешкім аударым кезінде байқамады ма? Бұл нашар сюжет сияқты естіледі, бірақ дәл осылай жұмыс істейді. Күн сайын "Растау" батырмасын басуға үйренгенде, және бәрі әрқашан қалыпты өтсе, экрандағы әрбір пиксельді қайта тексермейсің. Бұл немқұрайлылық емес, бұл мыңдаған компаниялар қолданатын жүйеге деген сенім. Ал Lazarus жүйені бұзған жоқ, ол осы сенімді бұзды. Ауыстырылған код BYBIT қызметкерлеріне бір нәрсені көрсетті, ал мүлдем басқа нәрсені жіберді. Олардың аппараттық кошелектеріндегі қолтаңбалары қауіпсіздік мамандары кейіннен "соқыр қолтаңба" деп атаған нәрсеге айналды. Олар көрмеген транзакцияны растады. Бұзушылықтан 10 сағат өткен соң, BYBIT-тің 350 000 пайдаланушысы ақша алуға өтініш берді. Дүрбелең. Биржа шайқалды. Ethereum бағасы құлады. Нарық тоқтап қалды, ал ұрланған ақшалар қозғалыста болды. Конвейер, жылдар бойы жетілдірілген.
Зымыран бағдарламасын қаржыландыру: Киберкеңістіктен түскен ақша
2024 жылы таратылған БҰҰ сарапшылар тобының бағалауы бойынша, Солтүстік Кореяның ядролық және зымыран бағдарламаларын қаржыландырудың 40% -ы кибер ұрлықтардан келеді. 40% – көмір саудасынан емес, қару сатудан емес, одақтастардың көмегінен емес, ұрланған криптовалютадан. Бұл журналистік гипотеза емес. Бұл Қауіпсіздік Кеңесі мандатымен жұмыс істеген халықаралық комиссияның қорытындысы. BYBIT-тен ұрланған полтора миллиард – бұл пайда үшін жасалған қылмыс емес. Бұл ресми түрде жоқ мемлекеттік бюджеттегі бір жол. Тек 2025 жылы, Chainalysis аналитикалық платформасының мәліметтері бойынша, КХДР-мен байланысты хакерлер 2 миллиард доллардан астам ақша ұрлаған, бұл бір жыл бұрынғыдан 51% -ға көп. 2019 жылдан 2025 жылдың соңына дейін жалпы сомасы – 6.75 миллиард. Бұл әлемдегі барлық криптовалюта ұрлықтарының 76% -ы. Үштен бірі – бір ел, бір оператор. Бұзушылықты тергеген Elliptic аналитикалық компаниясы бұл жағдайды былайша сипаттады: "Lazarus Group – бұл әдеттегідей мемлекеттік демеушілікке ие топ емес. Lazarus – бұл Солтүстік Корея, ал Солтүстік Корея – бұл Lazarus. Хакерлер мен режим арасында шекара жоқ, аралық жоқ. Бұл біртұтас организм". Міне, осы жерде осы оқиғаның ең қараңғы бөлігі басталады. Өйткені, әлемдегі ең кедей және ең оқшауланған елдердің бірінен шыққан топ қалайша миллиардтарды ұрлауды үйренгенін түсіну үшін, 20 жыл бұрын, ешкім білмейтін жерге оралу керек. Сол жерге, мектепте балаларды таңдайды. Спорттық жетістіктері үшін емес, музыкаға деген таланты үшін емес, тек математикалық есептерді басқалардан жылдам шеше алатын қабілеті үшін. Және сол балалардан ешқашан қару ұстамайтын, бірақ кез келген армиядан артық зиян келтіретін сарбаздар жасайды.
Киберәскердің тууы: Ким Ир Сеннен №121 Бюроға дейін
1996 жылы Солтүстік Кореяның сол кездегі басшысы Ким Чен Ир алдыңғы шептегі әскерилерге барыпты. Оңтүстік Кореяның барлау есептерінде сақталған куәліктерге сәйкес, ол өзінің елінің келесі 30 жылдық тарихын анықтаған сөздерді айтқан: "Болашақтағы барлық соғыстар компьютерлік соғыстар болады". 1996 жыл. Интернет әлі дұрыс дамымаған. Планетадағы адамдардың көпшілігі электронды пошта дегенді білмеген, ал әлемдегі ең кедей елдердің бірін басқарған адам пернетақтаның танкіден қауіптірек екенін түсінген. Кейінірек, 2000-шы жылдары, ол тіпті қаттырақ айтты. C4ADS ұйымының зерттеушілерінің Оңтүстік Кореяның барлау материалдарына сілтеме жасауы бойынша, Ким Чен Ир кибератактарды атом бомбаларымен теңеді. "Соғыста жеңіске жететін – бейбіт уақытта қарсылас туралы әскери-техникалық ақпараттарға көбірек қол жеткізген тарап". Ол әзілдескен жоқ, ол армия құрып жатты. 1998 жылы №121 Бюро құрылды – Бас барлау басқармасының (ГРУ) ішіндегі киберсоғыс бөлімшесі. Бұл қандай да бір IT-бөлімінің баламасы емес. Бұл толыққанды әскери құрылым, КХДР-дың барлық кибероперацияларына жауапты басты орган – Үшінші техникалық бақылау бюросына бағынады. Алғашқы бағалаулар бойынша, №121 Бюро-да шамамен 1800 маман жұмыс істеген. 2014 жылға қарай Оңтүстік Кореяның NIS агенттігі бұл санды 5900-ге дейін арттырды. Қазір Wall Street Journal мәліметтері бойынша, әскери бөлімшелерге ұйымдастырылған 8000 штаттық хакер туралы сөз болып отыр. Бірақ интернетсіз елде хакерлер қайдан пайда болады? Жауабы қарапайым және сонымен бірге қорқынышты. Оларды бала кезінен өсіреді. Бүкіл Солтүстік Корея бойынша 90-шы жылдардан бері қалыптасқан іріктеу жүйесі жұмыс істейді. Дарынды балаларға арналған орта және жоғары мектептерде компьютерлер орнатылған. Ауып келгендердің айтуынша, жақында бұл Pentium 4 деңгейіндегі машиналар болған. Мұғалімдер математикалық қабілеті жоғары балаларды бақылайды. Ең үздіктерін арнайы жоғары оқу орындарына жібереді. Олардың бастысы – Мирим колледжі, немесе Пхеньян автоматтандыру университеті. Жыл сайын ол 100-ге жуық хакерді шығарады. Чан Сеюль, Миримде оқып, кейін Оңтүстік Кореяға қашып кеткен ауып келген адам, оқу процесінің қалай болғанын айтып берді: күн сайын алты 90 минуттық сабақ. C-ден ассемблерге дейінгі бағдарламалау тілдері, Linux және Windows операциялық жүйелері. Microsoft Windows архитектурасын талдауға көп уақыт кетті: оның құрылымы, кемшіліктері, оған қалай кіруге болады. Бес жылдық дайындық, әдеттегідей демалыссыз, еркін интернетсіз, тек оқу және практика. Мириммен қатар Ким Ир Сен университеті, Ким Чек технологиялық университеті және Моранбон университеті жұмыс істейді. Сол жерге ең қабілеттілерді жібереді. Ким Хынгван, 10 жыл бойы Хамхын университеттерінде ақпараттық технологиялар профессоры болып, болашақ киберәскерлерді дайындаған, Оңтүстік Кореяға қашқаннан кейін, оның үздік студенттері Қытайға, атап айтқанда Шэньян қаласына тағылымдамаға баратынын айтты, сол жерде Chosen Expo Joint Venture атты жалған компания жұмыс істеген. Оперативниктер
Sony Pictures-ке шабуыл: Комедия үшін кек
24 қараша 2014 жылғы таң Sony Pictures Entertainment қызметкерлерінің жадында мәңгілікке қалды. Адамдар жұмысқа келіп, компьютерлерінің өліп қалғанын көрді. Экрандарда қызыл бас сүйегінің бейнесі және "Бейбітшілік Страждары" ("Guardians of Peace") деп аталатын топтың жазбасы тұрды. Жазба қарапайым еді: "Біз бәрін алдық. Егер талаптарымызды орындамасаңдар, біз оны жариялаймыз". Бұл артық айтылғандық емес еді. Хакерлер Sony желісінде кем дегенде 2 ай, кейбір мәліметтер бойынша, бір жыл бойы болды. Осы уақыт ішінде олар 100 ТБ-дан астам деректерді көшірді: басшылықтың ішкі хаттары, қаржылық құжаттар, қызметкерлердің жеке деректері (әлеуметтік сақтандыру нөмірлері, медициналық жазбалар, жалақылар), әлі шығарылмаған фильмдер, болашақ жобалардың сценарийлері. Содан кейін олар компанияның серверлік инфрақұрылымының шамамен 70% -ын жойған зиянды бағдарламаны іске қосты. Қатты дискілер қайта жазылды, жүктеу жазбалары жойылды, компьютерлер "кірпіштерге" айналды. Себебі: комедия. Сет Роген мен Джеймс Франко қатысқан "Сұхбат" ("The Interview") фильмі. Екі журналист ЦРУ-мен Ким Чен Ынды өлтіру үшін жұмысқа алынатын сатира. Lazarus болмаса, жарты жылдан кейін ешкім есіне алмайтын фильм. "Бейбітшілік Страждары" Sony-ден премьераны болдырмауды талап етті, содан кейін фильмді көрсететін кинотеатрларда теракт жасаймыз деп қорқыта бастады. АҚШ-тың ең ірі желілері прокаттан бас тартты. Sony алдымен премьераны болдырмады, содан кейін қоғамдық қысыммен, ақыры фильмді шектеулі прокатта және онлайн режимінде шығарды. 19 желтоқсан 2014 жылы ФБР ресми түрде мәлімдеді: "Шабуылдың артында Солтүстік Корея тұр". Президент Обама жария сөз сөйлеп, бұзушылықты "соғыс емес, ұлттық қауіпсіздікке елеулі соққы" деп атады. Америка Құрама Штаттары қосымша санкциялар енгізді. Ал мен, бұл істі зерттеп жүргенде, мынаны ойладым: мемлекет комедия үшін жеке компанияға шабуыл жасады. Барлау деректері үшін емес, әскери құпиялар үшін емес, әзіл үшін. Және Sony бағалаған 15 миллион доллар залалды бірінші тоқсанда келтірді, репутациялық залал мен деректері ағып кеткен қызметкерлерден келген сот талаптарын есептемегенде. Бірақ ең маңыздысы, Lazarus бұл бұзушылықты жаттығу ретінде пайдаланды: әдістерді сынап көрді, инфрақұрылымды тексерді, реакцияны зерттеді. Өйткені келесі мақсат мүлдем басқа калибрлі болды. Ойын-сауық компаниясы емес, Орталық банк.