Ким Чен Ир, руководитель КНДР с 1994 по 2011 г., первоначально расценивал Интернет как потенциальную угрозу режиму. Отношение диктатора стало меняться в середине 1990-х гг., когда в страну по окончании обучения вернулась группа специалистов по компьютерным технологиям. Окончательный разворот произошел после вторжения США в Ирак в 2003 г.: по воспоминаниям известного перебежчика Ким Хун-кванга, Ким Чен Ир заявил: «В XXI в. войны будут вестись в информационном формате».

Пхеньян стал активно прибегать к цифровым технологиям для шпионажа и кибератак. Вскоре хакеры добились первых успехов: в 2009 г. они атаковали сайты в США и Южной Корее, заразив их вирусом MyDoom. За нападением стояла группа Lazarus (она же Hidden Cobra) — самая известная ныне хакерская группировка КНДР.

Однако масштаб КНДР на сетевой карте мира не впечатлял: в 2011 г. на всю страну было зарегистрировано около 1 тыс. IP-адресов — меньше, чем в большинстве кварталов Нью-Йорка.

В 2017 г. КНДР заработала около 200 млн долл. на незаконном экспорте угля и оружия, говорится в секретном докладе независимых наблюдателей ООН. Сделки осуществлялись через порты России, КНР, Малайзии, Вьетнама, Сирии и Мьянмы.

Однако этим список преступных доходов не ограничивается: за последние 20 лет Пхеньян не раз обвиняли в торговле контрафактом (от одежды до сигарет), обороте поддельной валюты, наркоторговле.

Теперь корейские чиновники открыли для себя новый, куда более безопасный способ приработка: хакерские атаки. По словам консультанта Национальной разведывательной службы Южной Кореи Саймона Чой, за последние несколько лет северокорейские хакеры атаковали более 100 банков и криптобирж, похитив более 650 млн долл. Бывший британский разведчик полагает, что киберпреступления приносят КНДР до 1 млрд долл. в год. Для сравнения: экспорт КНДР составляет чуть более 3 млрд долл., а ВВП Северной Кореи в 2016 г. оценивался в 28,6 млрд долл. «Я не удивлюсь, если теперь хакерство играет важную роль в структуре доходов КНДР», — заметил ведущий специалист по Северной Корее, профессор, сотрудник университета Кунмин (Сеул) Андрей Ланьков.

Хакерство — идеальный инструмент для пополнения бюджета КНДР по нескольким причинам:

1. Низкая стоимость входа в бизнес: помимо компьютера, доступа к Интернету и сервера опытному специалисту больше ничего не потребуется;

2. Анонимность пользователя, анонимность денежных транзакций;

3. Вариативность заработка: от выполнения легальных задач на фрилансе до противозаконных таргетированных атак;

4. Возможность уклонения от санкций ООН, в том числе запрета на найм рабочих из КНДР.

Рассмотрим «коммерческие атаки» КНДР подробнее.

В начале 2018 г. аналитики FireEye (входит в топ-10 мирового рейтинга компаний по кибербезопасности, является одним из основоположников систем защиты от угроз «нулевого дня») отчитались о разрушительной деятельности группировки APT37 (она же Reaper), продемонстрировавшей сложные высокоуровневые возможности взлома. Директор аналитического отдела разведки в FireEye Джон Хальквист заметил, что эти хакеры «не стесняются: они чрезвычайно агрессивны». В докладе FireEye отмечалось, что главной задачей APT37 является «тайный сбор разведданных для поддержки стратегических военных, политических и экономических интересов КНДР».

Помимо адресных и рассеянных кибератак, КНДР заинтересовалась возможностью слежки за пользователями и сбором конфиденциальных данных. Так, в Google Play в течение двух месяцев (с января по март 2018 г.) были доступны три приложения, собирающие информацию об устройстве, личные фотографии, а также копирующие контакты и текстовые сообщения.

Приложения были нацелены на перебежчиков из Северной Кореи, обосновавшихся в других странах, прежде всего — в Южной Корее. Любопытно, что приложения скачали всего около 100 раз, но в этом и заключалась цель: разработчики программ-шпионов зачастую заражают небольшое количество тщательно отобранных целей, чтобы оставаться незамеченными администрацией маркетов.

О северокорейском происхождении приложений свидетельствовали несколько фактов: аналитики McAfee обнаружили в коде уникальные корейские слова, не используемые жителями Южной Кореи; в файле текстового журнала значился северокорейский IP-адрес. При этом разработчики, по всей видимости, не связаны с идентифицированными ранее хакерами. Новую группу назвали SunTeam. Не исключено, что это одно из подразделений Lazarus.

Также Пхеньян занимается разработками в слежке за пользователями iPhone. В мае 2018 г. исследователь кибербезопасности Дариен Гусс из компании Proofpoint обнаружил программу — инструмент управления мобильными устройствами (MDM), позволяющую предприятию удаленно контролировать корпоративные смартфоны iPhone, которыми пользуются сотрудники. Приложение размещалось на сервере, где, как предполагается, расположены и другие инструменты взлома за авторством программистов из Северной Кореи. Приложение позволяет полностью следить за пользователями iPhone: их перемещением, контактами, сообщениями.

Не исключено, что этим набором инструментов против iPhone дело не ограничивается. Тем более что аналогичными разработками занимаются и другие страны. Например, израильской компании Cellebrite удалось взломать iPhone. Интересно, что компания является подрядчиком американского правительства.

Повышенный интерес властей КНДР к криптовалютам заслуживает отдельного внимания. За 9 лет с момента запуска биткоина криптовалюты из увлечения энтузиастов превратились в полноценный финансовый инструмент. В декабре 2017 г., на пике рынка, капитализация рынка криптовалют превысила 500 млрд долл. На данный момент на цифровых биржах обращается более 1100 криптовалют, количество активных пользователей виртуальных кошельков, хранящих криптовалюты, выросло с 2,9 млн в 2013 г. до 5,8 млн человек в 2017 г.

Согласно докладу Кембриджского центра альтернативных финансов (CCAF), большинство обладателей криптовалют (более 60%) проживают в Северной Америке и Европе, еще 20% — в Азиатско-Тихоокеанском регионе. Многие страны официально признали криптовалюты финансовым инструментом или платежным средством: Европейский суд в 2015 г. отнес транзакции в биткоинах к платежным операциям с валютами, монетами и банкнотами, рекомендовав членам ЕС не облагать операции НДС; Япония признала биткоин законным платежным средством в марте 2016 г.; Китай классифицировал криптовалюту как товар; Минфин США объявил биткоин «децентрализованной виртуальной валютой», а Швейцария приравняла его к иностранным валютам, которые имеют право на оборот и прием к оплате в стране.

В октябре 2017 г. по итогам совещания с министром финансов Антоном Силуановым, помощником Андреем Белоусовым и председателем ЦБ Эльвирой Набиуллиной президент России Владимир Путин поручил к 1 июля 2018 г. прописать в российском законодательстве статус криптовалют, токенов, смарт-контрактов и технологии блокчейна; установить требования к майнерам, включая регистрацию указанных субъектов, а также определить порядок налогообложения; урегулировать публичное привлечение денежных средств и криптовалют путем размещения токенов (ICO) по аналогии с первичным размещением ценных бумаг (IPO). Пока что на поручении история и остановилась.

Но криптопроекты, как и другие компании, не всегда защищены от киберугроз. В разное время жертвами хакеров становились криптобиржи MtGox, Bitfinex и NEM, венчурный фонд The DAO, торговая площадка Coincheck, онлайн-рынок для майнинга криптовалют NiceHash.

Криптокошельки оказываются не более надежными: по оценкам High-Tech Bridge, более 90% популярных криптокошельков, представленных в Google Play, подвержены уязвимостям того или иного рода.

По оценкам Group-IB, общий ущерб от целевых хакерских атак на криптоиндустрию в 2017 г. составил более 160 млн долл., доход от хакерских атак на криптобиржи варьируется от 1,5 до 72 млн долл., в то время как в результате успешной атаки на банк преступники в среднем зарабатывают всего 1,5 млн долл.

Неудивительно, что КНДР активно интересуется криптотемой: аналитики ТСС еще в 2013 г. идентифицировали на форумах, посвященных биткоину, IP-адреса, связанные с Северной Кореей.

Южная Корея — один из локомотивов криптоиндустрии. Именно местные проекты первыми пострадали от северокорейских хакеров. Например, Youbit в декабре 2017 г. «потеряла» 17% цифровых денег и вскоре обанкротилась. Тогда курс биткоина достиг 20 тыс. долл., а в апреле мошенникам удалось похитить биткоинов на 36 млн долл. В Сеуле также подозревают Пхеньян в хищении 523 млн долл. у японского обменника Coincheck.

Жертвами хакеров становились и частные инвесторы. В 2017 г. хакеры из КНДР начали массово создавать в Facebook фиктивные профили привлекательных девушек, якобы интересующихся биткоином и работающих в криптоотрасли. В профилях фигурировали «Исследовательский центр NYU» и другие учреждения, не вызывающие подозрений. Хакеры заводили знакомства с мужчинами-пользователями криптобирж, затем отправляли файлы Microsoft Word, замаскированные под открытки или приглашения, заражая ПО пользователей и получая доступ к криптосредствам, рассказывали аналитики, знакомые с расследованием.

Еще один способ извлечения прибыли — заражение рабочих станций вирусом для майнинга криптовалют. В январе 2018 г. американская фирма Alien Vault обнаружила фрагмент вредоносного ПО, устанавливающего приложение на компьютер жертвы, чтобы добыть валюту Monero.

Интерес КНДР к Monero не случаен. Биткоин остается самой популярной криптовалютой в мире. Одна из ключевых характеристик валюты, привлекающая криптоэнтузиастов, — «анонимность» транзакций: переводы в биткоинах, предположительно, невозможно отследить. Однако с недавних пор ситуация изменилась: в начале 2018 г. поставщик блокчейн-решений Bitfury Group представил набор инструментов Crystal, позволяющий сотрудникам правоохранительных органов и частным экспертам отслеживать пути подозрительных транзакций до конечного получателя или точки сбыта криптовалюты. Сервис устанавливает связь между предполагаемыми злоумышленниками, позволяет определять вероятность причастности отдельных адресов к незаконной деятельности. И это не единственное решение, представленное на рынке. Monero пока не так популярна, как биткоин, но ее уровень безопасности сегодня оценивается выше.

Сделав ставку на развитие кибервойск, КНДР достигла больших успехов в подготовке квалифицированных IT-кадров. В 2015 г. на международном конкурсе CodeChef, организуемом индийской IT-компанией, северокорейские команды заняли первое, второе и третье места из более чем 7 600 участников со всего мира. Три из 15 лучших кодеров в сети CodeChef, насчитывающей около 100 тыс. пользователей, — представители КНДР.

Неудивительно, что Пхеньян начал активно развивать IT-бизнес — причем так, что связей с КНДР у этих компаний не прослеживается. Согласно докладу Центра исследований проблем нераспространения Джеймса Мартина, компании, связанные с властями КНДР, создают и продают разнообразное программное обеспечение по всему миру: от разработки и администрирования сайтов, программ-шифровальщиков файлов до VPN-построителей, систем аутентификации и распознавания лиц.

Одна из «корневых» фирм — оборонная Global Communications (Glocom), создавшая сеть фирм по всей Азии. Аффилированная с Global Communications компания Future Tech Group не так давно выиграла престижную награду за программу распознавания лиц на конкурсе в Швейцарии. Также Future Tech Group продвигала проекты веб-разработки в американских школах, продавала ПО для распознавания лиц правоохранительным органам Турции и других стран.

Еще одна аффилированная с Glocom компания — Adnet International — предлагает методы идентификации биометрических данных для клиентов в Китае, Японии, Малайзии, Индии, Пакистане, Таиланде, ОАЭ, Великобритании, Германии, Франции, России, Канаде, Аргентине, Нигерии. VPN-технологии, разработанные северокорейскими компаниями, продавались в Малайзии.

Фирмам удается скрывать связи с правительством посредством создания цепочек-посредников в разных странах мира. Получается, что формально Пхеньян отношения к бизнесу не имеет. Но заказы открывают перед Пхеньяном как колоссальный простор для деятельности, так и «ящик Пандоры» для заказчиков КНДР.

Во-первых, никто не знает, не скрыты ли в ПО бэкдоры — дефекты алгоритма, намеренно встраиваемые разработчиком и позволяющие получить несанкционированный доступ к данным или управлению операционной системой и компьютером в целом. Не исключено, что разработчики из КНДР намеренно оставляют закладки в программах, чтобы в нужный момент проникнуть в систему и получить полный контроль над ней.

Во-вторых, теоретически Пхеньян может сформировать колоссальную базу данных частных лиц и организаций. Предоставляя программы распознавания лиц и отпечатков пальцев, они создают условия для сбора информации о пользователях. Эти данные впоследствии могут быть использованы для обхода двухфакторной аутентификации в онлайн-банкинге или на других ресурсах, где требуется предоставление биометрических сведений.

Пусть почти никто в КНДР не имеет широкого доступа к интернету, Пхеньяну удалось взрастить армию высококвалифицированных хакеров, укомплектованную из лучших студентов-математиков, которые становятся негласной элитой страны.

Профессор информатики из КНДР Ким Хеунг Кванг, в 2004 г. бежавший в Южную Корею, утверждал, что на службе Пхеньяна 6 тыс. хакеров, которые отчитываются напрямую перед Генеральным бюро разведки. Для сравнения: американское Киберкомандование, созданное Бараком Обамой в 2009 г., насчитывает около 700 военных и гражданских служащих. Киберподразделения в военных службах США насчитывают 6200 человек. И в Штатах признают опасность угрозы: командующий сил США на Корейском полуострове Винсент Брукс уверен, что северокорейские хакеры — «одни из лучших в мире и самые организованные». Вице-президент CrowdStrike Адам Мейерс соглашается, что КНДР — «это грозный киберпротивник».

«Потенциал Северной Кореи по уничтожению критической инфраструктуры без ядерного оружия в значительной степени игнорируется, но у Пхеньяна достаточно кибернетических возможностей для нанесения серьезного ущерба», — отмечали Дунхуэй Парк и Джессика Бейер.

Британский парламентский Комитет по обороне в докладе отметил, что северокорейские кибератаки, по всей видимости, представляют большую угрозу, чем ядерные ракеты. Парламентарии призвали увеличить инвестиции в обеспечение кибербезопасности королевства, но вне рамок оборонного бюджета. При этом англичане посетовали на острую нехватку квалифицированных кадров (с чем Пхеньян не сталкивается).

WSJ разделяет киберподразделения КНДР на три группы, основываясь на заявлениях перебежчиков и южнокорейских исследователей:

«Группа А» атакует иностранные объекты и связана с наиболее громкими кампаниями КНДР, такими, как атаки WannaCry и Sony;

«Группа В» ориентируется на Южную Корею, военные и инфраструктурные секреты;

«Группа C» выполняет низкоквалифицированную работу — например, целевые атаки по электронной почте.

Однако уместнее оперировать другой классификацией, впервые использованной экспертамиCrowdStrike(компания имеет клиентов в 170 странах мира, участвовала в расследовании атак на Sony Pictures и Демократическую партию США). Их методика учитывает не только цели, но и методы группировок. Аналитики использовали корневым словом в названии Chollima («Чхоллима») — мифического крылатого коня, почитаемого в КНДР.

Группу Lazarus не стоит считать единой организацией: ее уместно разделить на четыре подразделения:

Stardust Chollima специализируется на «коммерческих атаках», приносящих доход;

Silent Chollima действует против СМИ и государственных учреждений;

Labyrinth Chollima фокусируется на противодействии спецслужбам;

Ricochet Chollima отвечает за хищение конфиденциальных данных пользователей.

В последнее время в Сети замечена еще одна группировка, по всей видимости, не связанная с Lazarus, старающаяся не попадать в поле зрения и не привлекать к себе внимания: APT37, причастная к серьезным проникновениям в системы различных государств от Южной Кореи до стран Ближнего Востока.

По словам перебежчиков и южнокорейских экспертов в области киберразведки, перспективных кандидатов начинают отбирать с 11 лет и направляют в специальные школы, где обучают основам кибербезопасности и разработке компьютерных программ. Киберсолдатам положены соответствующие поблажки: они не беспокоятся о содержании, им доступны продукты, незнакомые другим гражданам, они могут перевезти в Пхеньян всю свои семью. Также киберсолдаты освобождаются от обязательной воинской обязанности — у них другая служба.

Однако есть и обратная сторона: элитный статус имеют элитные киберсолдаты. Но, как и в каждой армии, есть «пехота», находящаяся совсем в другом положении. Bloomberg пообщался с северокорейцем Чен Хёком, работавшим в кибервойсках КНДР. В репортаже содержится огромное количество данных, но проверить достоверность всех утверждений не представляется возможным.

По словам хакера, он не участвовал в громких операциях и занимался исключительно зарабатыванием денег. Чен Хёк попал на факультет компьютерных войск по распределению, учился в Китае, по возвращении на родину поступил в кибервойска, после чего его отправили в КНР на заработки. На компьютер хакеру пришлось заработать самостоятельно: вначале он пользовался ноутбуком соседей по общежитию. Первые деньги Чен Хёк получил за торговлю программным обеспечением, затем занялся взломом программ по заказу, в свободное время разорял игорные сайты, развивал персонажей в онлайн-играх с последующей перепродажей.

Тех хакеров, кто не зарабатывал положенную норму в 100 тыс. долл. в год, отправляли обратно в КНДР. Программистам разрешалось удерживать не больше 10% от прибыли.

После инцидента с госслужащим Чен Хёк сбежал в Бангкок, купив поддельный паспорт, и обратился за помощью в посольство Южной Кореи. Хакеру помогли начать новую жизнь в Сеуле.

Помимо взлома, кибервойска занимаются и другими задачами: по заказу хакеры пишут программы iOS и Android, а прибыль поступает в казну КНДР. «Филиалы» северокорейских подразделений рассеяны по всему миру, но большинство хакеров проживают в КНР. Учитывая объемы трафика и тщательный мониторинг интернет-запросов пользователей, китайские власти наверняка в курсе деятельности северокорейцев, однако никаких известных мер против кибермошенников предпринято не было. По всей видимости, КНДР и КНР придерживаются молчаливой конвенции о сетевом ненападении.