Unikátny útok sofistikovaných severokórejských hackerov. Banku takmer okradli o miliardu dolárov

Všetko sa to začalo nefunkčnou tlačiarňou. Je to súčasť moderného života, a tak keď sa zamestnancom banky Bangladesh pokazila tlačiareň, neprikladali tomu veľkú váhu.

No nebola len taká obyčajná tlačiareň

Nebola to ani obyčajná banka. Bangladéšská banka je centrálna banka v krajine zodpovedná za dohľad nad vzácnymi menovými rezervami krajiny. Tlačiareň zohrala kľúčovú úlohu. Nachádza sa vo vysoko zabezpečnej miestnosti, na 10. poschodí hlavnej kancelárie banky, v hlavnom meste Dháka. Jej úlohou bolo tlačiť záznamy o prevodoch v hodnote niekoľkých miliónov dolárov, ktoré prúdili do banky a z banky.

Keď zamestnanci zistili, že to nefunguje, v piatok 5. februára 2016 o 8:45 „predpokladali, že ide o bežný problém, ako v každý iný deň,“ uviedol policajný riaditeľ, neskôr vedúci služby, Zubair Bin Huda. „Takéto závady sa stali už skôr,“ dodal.

V skutočnosti to bol prvý náznak toho, že Bangladéšska banka mala veľké problémy. Hackeri prenikli do jej počítačových sietí a práve v tom okamihu podnikli najodvážnejší kybernetický útok, o aký sa pokúsili. Ich cieľom boo ukradnúť miliardu dolárov.

Lazarus

Aby sa nedisponovalo ukradnutými peniazmi, gang používal falošné bankové účty, charity, kasína a širokú sieť komplicov. Kto však boli títo hackeri a odkiaľ boli? Podľa vyšetrovateľov digitálne odtlačky prstov ukazujú iba jedným smerom. Konkrétne na vládu Severnej Kórey.

Kórea je  jedna z najchudobnejších krajín na svete, a je do značnej miery odpojená od celosvetovej spoločnosti, a to technologicky, ekonomicky a asi aj všetkými iným spôsobmi. Podľa FBI bol tento odvážny "útok" zavŕšením rokov metodickej prípravy temného tímu hackerov a sprostredkovateľov v celej Ázii, ktorý pracoval s podporou severokórejského režimu.

V priemysle kybernetickej bezpečnosti sú severokórejskí hackeri známi ako Lazarus Group, čo je odkaz na biblickú postavu, ktorá vstala z mŕtvych. Odborníci, ktorí sa zaoberali počítačovými vírusmi skupiny, zistili, že sú rovnako odolné.

O skupine sa toho nevie veľa, aj keď FBI zhotovila detailný portrét jedného podozrivého. Park Jin-hyoka, ktorý sa tiež volal mená Pak Jin-hek a Park Kwang-jin. Opisuje ho ako počítačového programátora, ktorý vyštudoval jednu z najlepších univerzít v krajine, a odišiel pracovať do severokórejskej spoločnosti Chosun Expo v čínskom prístavnom meste Dalian, kde vytvoril programy online hrania a hazardu pre klientov po celom svete.

Počas pobytu v Dalian si zriadil e-mailovú adresu, vytvoril životopis, a pomocou sociálnych médií si vybudoval sieť kontaktov. Kybernetické stopy ho dostali do Dalianu už v roku 2002 a vypínali, a zapínali ho až do roku 2013 alebo 2014, kedy podľa čestného vyhlásenia vyšetrovateľa FBI jeho internetová aktivita pochádza z hlavného mesta Severnej Kórey Pchjongjangu .

Agentúra zverejnila fotografiu získanú z e-mailu z roku 2011, ktorý poslal manažér Chosun Expo a ktorý predstavuje Park externému klientovi. Je na ňom vyobrazený Kórejčan, ktorý má okolo 20 alebo 30 rokov a je oblečený v čiernej pruhovanej čiernej košeli a čokoládovo hnedom obleku. Na prvý pohľad nič neobvyklé, okrem vysileného výrazu v tvári.

FBI tvrdí, že cez deň pracoval ako programátor, v noci však bol hackerom. V júni 2018 americké úrady obvinili Parka zo sprisahaní za účelom spáchania počítačového podvodu a zneužitia a jedného počtu sprisahania za účelom spáchania drátového podvodu (podvodu týkajúceho sa pošty alebo elektronickej komunikácie) v období od septembra 2014 do augusta 2017. Hrozí mu až 20 rokov väzenia, ak ho niekedy vypátrajú.  Z Číny do Severnej Kórey sa vrátil štyri roky pred podaním obvinenia.

Ale Park, ak je to jeho skutočné meno, sa nestal zo dňa na deň hackerom. Je jedným z tisícov mladých Severokórejčanov, ktorí boli od detstva učení, aby sa stali kybernetickými bojovníkmi, či talentovanými matematikmi, a to už od 12 rokov, ktorých zobrali zo škôl a poslali do hlavného mesta, kde sa od rána do večera intenzívne učia.

Keď pracovníci banky reštartovali tlačiareň, dostali niekoľko veľmi znepokojujúcich správ. Boli to urgentné správy z Federálnej rezervnej banky v New Yorku, kde Bangladéš vedie účet v amerických dolároch. Fed dostal pokyny, zrejme od bangladéšskej banky, aby vyčerpal celý účet, takmer miliardu dolárov. Bangladéšania sa pokúsili kontaktovať Fed kvôli objasneniu, ale vďaka veľmi starostlivému načasovaniu hackerov sa im to nepodarilo.

Skutočný začiatok útoku

Hackerský útok sa začal vo štvrtok 4. februára okolo 20:00 bangladéšskeho času. Ale v New Yorku to bolo vo štvrtok ráno, čo poskytlo Fedu dostatok času na nechcené splnenie želaní hackerov, zatiaľ čo celý Bangladéš spal.

Na druhý deň, v piatok, sa začal bangladéšsky víkend, ktorý trvá od piatka do soboty. Takže ústrediu banky v Dháke začínali dva dni voľna. A keď Bangladéšania začali v sobotu odhaľovať krádež, bol už víkend zasa v New Yorku. „Takže vidíte eleganciu útoku,“ tvrdí americký expert na kybernetickú bezpečnosť Rakesh Asthana. "Dátum štvrtkového večera má veľmi definovaný účel. V piatok pracuje New York a Bangladéšska banka je vypnutá. V čase, keď sa Bangladéšová banka opäť pripojí, Federálna rezervná banka je vypnutá. Celý objav sa tak oneskoril takmer o tri dni,“ vysvetlil.

Ale hackeri mali v rukáve ďalší trik, aby získali ešte viac času. Len čo previedli peniaze z Fedu, potrebovali ich niekam poslať. Poslali ich teda na účty, ktoré si založili v Manile, hlavnom meste Filipín. Bolo to v roku 2016, bol pondelok 8. februára, štátny sviatok v celej Ázii. Využívaním časových rozdielov medzi Bangladéšom, New Yorkom a Filipínami hackeri vytvorili jasný päťdňový kolobeh, aby peniaze dostali bezpečne preč.

Mali dosť času na to, aby si to všetko naplánovali, pretože sa ukázalo, že skupina Lazarus už rok číhala v počítačových systémoch bangladéšskej banky. V januári 2015 bol niekoľkým zamestnancom banky Bangladéš zaslaný neškodne vyzerajúci e-mail. Pochádzal od údajného uchádzača o zamestnanie, ktorý si hovoril Rasel Ahlam. Medzi jeho zdvorilé otázky patrila výzva na stiahnutie životopisu a motivačného listu z webovej stránky. Rasel v skutočnosti neexistoval, bolo to podľa vyšetrovateľov FBI iba krycie meno, ktoré používa skupina Lazarus. Najmenej jedna osoba v banke prepadla tomuto triku, stiahla si dokumenty, a nakazila sa vírusmi ukrytými vo vnútri.

Keď sa Lazarus Group dostal do bankových systémov, začal nenápadne skákať z počítača na počítač a prepracovávať sa k digitálnym trezorom a miliardám dolárov, ktoré obsahovali.  Stále však mali pred sebou jednu poslednú prekážku, tlačiareň na 10. poschodí. Bangladéšska banka vytvorila záložný systém na zaznamenávanie všetkých prevodov uskutočnených z jej účtov. Tento záznam transakcií znamenal, že okamžite odhalí prácu hackerov. A tak nabúrali softvér, ktorý ho ovládal, a vyradili ho z činnosti.

Vo štvrtok 4. februára 2016 o 20:36 hackeri začali uskutočňovať svoje prevody, celkovo 35, spolu 951 miliónov Dolárov, čo je takmer celý obsah účtu newyorského Fedu Bangladéšskej banky.  Keď Bangladéšska banka v priebehu tohto víkendu zistila chýbajúce peniaze, snažili sa prísť na to, čo sa stalo. Guvernér banky poznal Rakesha Asthanu a jeho spoločnosť World Informatix a poprosil ho o pomoc. Podľa Asthanu si guvernér v tejto chvíli stále myslel, že by mohol ukradnuté peniaze získať späť.

Úradníkom bangladéšskej banky bolo čoskoro jasné, že transakcie nemožno zvrátiť. Niektoré peniaze už dorazili na Filipíny, kde im úrady oznámili, že na začatie procesu ich vrátenia budú potrebovať súdny príkaz. Súdne príkazy sú verejnými listinami, a tak keď Bangladéšska banka koncom februára konečne podala žalobu, príbeh sa stal verejným a rozšíril sa po celom svete.

Dôsledky pre guvernéra banky boli vážne. „Bol požiadaný, aby rezignoval,“ hovorí Asthana. „Už som ho nikdy nevidel,“ dodal.

Zrušenie prevodov

Americká kongresmanka Carolyn Maloneyová kontaktovala Fed a pracovníci jej vysvetlili, že väčšine prevodov sa v skutočnosti podarilo zabrániť. Pobočka banky RCBC v Manile, do ktorej sa hackeri pokúsili previesť 951 miliónov dolárov, bola na Jupiterovej ulici. V Manile sú stovky bánk, ktoré hackeri mohli využiť, ale vybrali si túto, a rozhodnutie ich stálo stovky miliónov dolárov. „Transakcie  sa zadržiavali vo Fede, pretože adresa použitá v jednej z objednávok obsahovala slovo „ Jupiter “, čo je tiež názov sankcionovaného iránskeho prepravného plavidla,“ hovorí Carolyn Maloneyová.

Už len zmienka o slove „Jupiter“ stačila na nastavenie poplašných zvonov zvoniacich v automatizovaných počítačových systémoch Fedu. Platby boli skontrolované a väčšina bola zastavená. Ale nie všetky. Túto transakciu prekročilo päť transakcií v hodnote 101 miliónov dolárov.

A tak prešlo 81 miliónov dolárov. Nie to, o čo sa hackeri usilovali, ale stratené peniaze boli pre Bangladéš, krajinu, kde každý piaty človek žije pod hranicou chudoby, stále obrovskou ranou.

Pranie ukradnutých peňazí

V čase, keď Bangladéšska banka začala svoje úsilie získať peniaze späť, hackeri už podnikli kroky, aby sa ubezpečili, že zostanú mimo dosahu.  Z 81 miliónov dolárov, ktoré prešli bankou RCBC, bolo 50 miliónov dolárov vložených na účty v Solaire a inom kasíne Midas.  Myšlienkou používania kasín bolo prelomiť reťaz sledovateľnosti. 

Keď sa ukradnuté peniaze premenia na kasínové žetóny, hazarduje sa s nimi po stoloch, a opäť sa menia na hotovosť, je pre vyšetrovateľov takmer nemožné ich vypátrať. V tom čase sa na filipínske herne nevzťahovali predpisy o praní špinavých peňazí. Pokiaľ ide o kasína, hotovosť vkladali legitímni hráči, ktorí mali plné právo hrať.

Krajina hackerov

Severná Kórea sa na satelitných snímkach v noci javí ako čierna diera kvôli nedostatku elektriny vo väčšine častí krajiny, v ostrom kontraste s Južnou Kóreou, ktorá exploduje so svetlom po celý deň aj noc. Severná Kórea patrí medzi 12 najchudobnejších národov sveta s odhadovaným HDP iba ​​1700 dolárov na osobu, podľa CIA to je menej ako Sierra Leone a Afganistan.

Zdá sa, že napriek tomu Severná Kórea vyprodukovala niektorých z najostrejších a najsofistikovanejších hackerov na svete. Pochopenie toho, ako a prečo sa Severnej Kórei podarilo kultivovať elitné jednotky kybernetickej vojny, si vyžaduje pohľad na rodinu, ktorá vládla Severnej Kórei od jej vzniku moderného národa v roku 1948, tou sú Kimovci. Zakladateľka Kim Ir-sen vybudovala národ oficiálne známy ako Kórejská ľudovodemokratická republika, na politickom systéme, ktorý je socialistický, ale funguje skôr ako monarchia.

Kim Čong-il si vybudoval a vycvičil svojich kybernetických bojovníkov, jeho režim vysiela najtalentovanejších počítačových programátorov do zahraničia, hlavne do Číny. Predpokladá sa, že väčšina týchto mladých mužov žije a pracuje v severokórejských základniach v Číne. „Veľmi dobre maskujú svoje stopy, ale niekedy, rovnako ako každý iný zločinec, zanechajú po sebe drobky a dôkazy,“ hovorí Kyung-jin Kim, bývalý šéf FBI v Kórei, ktorý teraz pracuje ako vyšetrovateľ v súkromnom sektore v Soule.

Zdá sa, že Kórea je silným súperom naozaj vo všetkých smeroch.