Десять лет назад мировая индустрия информационной безопасности пережила тектонический сдвиг, последствия которого ощущаются по сей день. Главный кошмар любой спецслужбы стал реальностью: сверхсекретное, невероятно мощное кибероружие, разрабатывавшееся годами на налоги американских граждан, оказалось в свободном доступе.
Инструменты для тотального взлома, созданные в закрытых лабораториях Агентства национальной безопасности (АНБ) США, были похищены таинственной группировкой, назвавшей себя The Shadow Brokers («Теневые брокеры»). То, что начиналось как странный интернет-аукцион с требованием абсурдного выкупа, переросло в глобальную катастрофу. Слитые утилиты спровоцировали пандемию сетевых вирусов, парализовавших инфраструктуру целых государств, а истинные виновники утечки до сих пор остаются безнаказанными.

Глава 1. Загадочный аукцион и явление «Теневых брокеров»

13 августа 2016 года тишину в социальных сетях нарушила серия скоординированных публикаций. Недавно созданный Twitter-аккаунт с никнеймом The Shadow Brokers начал активно тегать аккаунты ведущих мировых СМИ, включая The New York Times, Reuters, Wired и The Guardian. Цель была очевидной — привлечь максимальное внимание к заявлениям, которые на первый взгляд казались обычным блефом или сетевым хулиганством.
Посты содержали интригующее упоминание Equation Group («Уравнение») и вели на популярный сервис для обмена текстовыми фрагментами Pastebin. Там пользователей встречал манифест, написанный на ломаном английском языке с обилием грамматических ошибок — как позже решат эксперты, намеренно имитирующим стиль восточноевропейских хакеров:

«Внимание, правительственные спонсоры кибервойны и те, кто на ней наживается! Сколько вы платите за кибероружие врагов? Мы бесплатно предоставляем вам некоторые файлы Equation Group. Это хорошее доказательство, не так ли? Наслаждайтесь!»

Кто такие Equation Group?

В ИТ-сообществе это имя вызвало шок. За год до описываемых событий, в 2015 году, «Лаборатория Касперского» опубликовала масштабное расследование об Equation Group, назвав её самой технологически продвинутой хакерской группировкой в мире. Аналитики напрямую связали её деятельность с АНБ США, фактически признав её элитным киберподразделением американской разведки (Tailored Access Operations — TAO).
Чтобы доказать серьезность своих намерений, «Брокеры» прикрепили к сообщению ссылки на скачивание первой порции украденного софта. Профильные специалисты, скачавшие архивы, быстро осознали масштаб катастрофы: перед ними были реальные боевые инструменты взлома, предназначенные для обхода межсетевых экранов и сетевого оборудования крупнейших мировых производителей (Cisco, Juniper, Fortinet).

Глава 2. Миллион биткоинов за «черный чемоданчик»

Помимо бесплатного «пробника», хакеры заявили о наличии куда более опасного массива данных. Они объявили о начале беспрецедентного краудфандингового аукциона. Схема была следующей:

• Весь секретный архив зашифрован.
• Ключ к нему получит тот, кто предложит наибольшую ставку в криптовалюте Bitcoin.
• Если общая сумма собранных средств от всех участников достигнет 1 миллиона биткоинов (что на тот момент составляло астрономические $568 млн), пароль будет опубликован в открытом доступе для всего человечества.
• При этом организаторы цинично заявили, что проигравшие участники свои биткоины обратно не получат.
  Естественно, собирать миллион монет никто не торопился. Осознав, что план с краудфандингом провалился, в январе 2017 года The Shadow Brokers официально закрыли аукцион. Вместо этого они выложили в открытый доступ 58 утилит для компрометации систем на базе ОС Windows и выставили весь оставшийся архив на прямую продажу за 750 биткоинов (около $591 000 по курсу того периода).

Политический демарш

В апреле 2017 года группировка неожиданно сменила риторику, перейдя от сугубо финансовых требований к политическим манифестам. На платформе Medium они опубликовали открытое письмо, адресованное президенту США Дональду Трампу. Хакеры выразили разочарование его первыми шагами на посту главы государства, обвинив в отказе от предвыборных обещаний и «дырах в идеологии». В знак протеста против действий администрации США The Shadow Brokers бесплатно опубликовали сложнейший пароль к ранее зашифрованному архиву:
CrDj»(;Va.*NdlnzB9M?@K2)#>deB7mN
Это была прелюдия к главному удару. Меньше чем через неделю в сеть утек финальный, самый разрушительный пакет эксплойтов.

Глава 3. Самая разрушительная утечка в истории

Финальный релиз под кодовым названием «Lost in Translation» («Трудности перевода») содержал инструменты, способные удаленно взламывать операционные системы Windows без какого-либо взаимодействия с пользователем. Эксперты по кибербезопасности были в ужасе.
Мэтью Хики, авторитетный аналитик безопасности, в интервью изданию Ars Technica дал однозначную оценку произошедшему:
«Это, безусловно, самая мощная подборка эксплойтов из всех, что когда-либо публиковались в открытом доступе. Фактически архив предоставляет кибероружие в руки любого, кто его скачает. Ряд этих инструментов представляет собой эксплойты нулевого дня, для которых на момент разработки не существовало исправлений».

Странный маневр Microsoft

В этой истории обнаружился крайне подозрительный нюанс. Когда эксперты бросились проверять опубликованные уязвимости, выяснилось, что корпорация Microsoft уже закрыла ключевые бреши в безопасности (в частности, критическую уязвимость MS17-010) ровно за месяц до публикации архива The Shadow Brokers.
При этом Microsoft не выпускала никаких официальных предупреждений и не объяснила, откуда узнала о готовящемся сливе. Журналисты и эксперты сошлись во мнении: АНБ, обнаружив утечку своего арсенала, тайно связалось с ИТ-гигантом и заставило в экстренном порядке выпустить патчи, чтобы минимизировать глобальный ущерб. Однако спецслужбы не учли один критический фактор — человеческую халатность.

Глава 4. Когда тайное убивает: Эпидемия WannaCry и NotPetya

Последствия безответственного хранения кибероружия не заставили себя ждать. Миллионы серверов и персональных компьютеров по всему миру оставались без обновлений безопасности: системные администраторы корпораций и госучреждений банально игнорировали мартовские патчи от Microsoft.
12 мая 2017 года мир содрогнулся от атаки вируса-вымогателя WannaCry. Это был идеальный цифровой паразит. В его основу легли два инструмента из слитого архива АНБ:

1. EternalBlue («Бесконечная синева») — эксплойт, использующий уязвимость в сетевом протоколе SMBv1 для скрытого проникновения в систему.
2. DoublePulsar — бэкдор, позволяющий незаметно закрепляться в зараженной ОС и загружать любое вредоносное ПО.

[Уязвимый ПК] 
      │
      ▼ (Атака через протокол SMBv1)
[Эксплойт EternalBlue] ──► Пробивает защиту Windows
      │
      ▼
[Бэкдор DoublePulsar]  ──► Закрепляется в оперативной памяти
      │
      ▼
[Шифровальщик WannaCry] ──► Блокирует файлы, требует выкуп $300-$600

Вирус распространялся со скоростью лесного пожара. Попадая на один компьютер в локальной сети, он мгновенно заражал все остальные уязвимые машины в пределах предприятия или ведомства.

Хроника глобального хаоса

• Великобритания: Парализована работа Национальной службы здравоохранения (NHS). Больницы отменяли операции, машины скорой помощи перенаправлялись в другие округа, врачи потеряли доступ к медкартам пациентов.
• Испания: Заблокирована внутренняя сеть телекоммуникационного гиганта Telefónica, пострадали энергетические компании Gas Natural и Iberdrola.
• Германия: Из строя вышли информационные табло на вокзалах крупнейшего железнодорожного оператора Deutsche Bahn.
• Мир: Пострадали заводы Renault, склады FedEx, МВД России и тысячи других организаций.
  По разным оценкам, WannaCry заразил более 300 тысяч компьютеров в 150 странах мира. Совокупный ущерб экономике составил от сотен миллионов до $4 миллиардов. При этом сами создатели вируса (позднее США официально обвинили в атаке правительственных хакеров из Северной Кореи) заработали на выкупах скромные 52 биткоина (около $130 000). Остановить пандемию удалось лишь благодаря британскому аналитику Маркусу Хатчинсу, который обнаружил в коде вируса так называемый Kill Switch — проверку несуществующего веб-адреса, регистрация которого заблокировала механизм распространения.
  Спустя месяц, в июне 2017 года, последовала еще более разрушительная атака — вирус NotPetya (и его вариация Petya). Используя те же слитые инструменты АНБ, он маскировался под вымогатель, но на самом деле безвозвратно уничтожал данные на жестких дисках. Его глобальный ущерб превысил $10 миллиардов. Осенью того же года мир накрыла третья волна — шифровальщик Bad Rabbit.

Глава 5. В поисках «Крота»: Дело Гарольда Мартина

Пока мир подсчитывал убытки от кибератак, Федеральное бюро расследований (ФБР) отчаянно пыталось найти источник утечки внутри самого АНБ. Вскоре после первых публикаций «Брокеров» под подозрение попал 52-летний Гарольд Томас Мартин, сотрудник консалтинговой компании Booz Allen Hamilton — крупнейшего подрядчика американских спецслужб (к слову, в этой же фирме в свое время работал знаменитый Эдвард Сноуден).
Во время масштабного обыска в частном доме Мартина в штате Мэриленд агенты ФБР застыли от изумления. В комнатах, гараже и автомобиле подозреваемого хранились бумажные документы и цифровые носители общим объемом около 50 терабайт. Подавляющая часть материалов имела гриф «Совершенно секретно». Среди прочего там находился и тот самый софт хакерских подразделений АНБ.
The New York Times незамедлительно окрестила это задержание делом о крупнейшей краже секретных документов в истории США.

Параметр дела	Детали
Подозреваемый	Гарольд Томас Мартин (подрядчик АНБ)
Объем изъятого	~50 Терабайт совершенно секретных данных
Обвинение	20 уголовных пунктов (до 10 лет по каждому)
Итог суда (2019 г.)	Признание вины, 9 лет лишения свободы

Нестыковки следствия

Несмотря на громкие заголовки, прямых доказательств связи Мартина с группировкой The Shadow Brokers следствие так и не обнаружило. В официальном обвинительном заключении имя хакерской группы не упоминается ни разу. Более того, самые разрушительные сливы «Брокеров» происходили в то время, когда Гарольд Мартин уже находился под стражей в федеральной тюрьме без доступа к интернету.
Адвокаты Мартина настаивали на том, что их подзащитный не был шпионом или злым умыслом ведомым предателем. Мужчина страдал от ментальных расстройств и компульсивного накопительства. Вынося секретные диски домой, он пытался «заполнить внутреннюю пустоту» и поднять чувство собственной значимости, осознавая, что владеет тайнами государственного масштаба. Он просто складировал файлы, но, судя по всему, никому их не передавал.

Наследие «Теневых брокеров»

Кто в таком случае стоял за The Shadow Brokers? Этот вопрос остается без ответа. Существует множество конспирологических теорий: от версии о втором «кроте» в недрах АНБ, чье имя до сих пор скрывают, до следа иностранных разведок (в частности, спецслужб России или Китая), решивших публично щелкнуть Белый дом по носу.
После 2017 года таинственные инсайдеры навсегда замолчали. Они не выходили на связь, не требовали денег и не устраивали новых акций. Они выполнили свою задачу — показали всему миру, что цифровое оружие массового поражения невозможно контролировать.
События десятилетней давности кардинально изменили подход к кибербезопасности. Мировое сообщество осознало: как только государство создает цифровой вирус для атаки на геополитических противников, этот вирус неизбежно будет украден и обращен против мирных граждан. The Shadow Brokers ушли в тень, оставив человечество жить в реальности, где код, написанный спецслужбами, в любой момент может остановить работу городских больниц или электростанций.