Инженер взломал сеть своей компании и потребовал выкуп в биткоин. Получил 32 месяца

Бывший инженер промышленной компании из Нью-Джерси отправился за решётку на 32 месяца за попытку вытрясти из собственного работодателя выкуп в биткоин. Сумма требования составляла 20 BTC, что на момент атаки в ноябре 2023 года равнялось примерно 750 тысячам долларов. План выглядел продуманным, но следствие размотало его до конца за считанные дни.

Атака в разгар рабочего дня: как рухнула сеть компании

История случилась в компании из округа Сомерсет, штат Нью-Джерси, которая работает с биофармацевтикой, нефтью и газом. Прокуратура пока не называет её публично, но детали атаки расписаны в материалах дела подробно. Около 16:00 25 ноября 2023 года администраторы сети начали получать уведомления о сбросе паролей для сотен учётных записей. Спустя считанные минуты выяснилось, что все остальные учётные записи администраторов домена просто удалены.

Через 44 минуты сотрудники получили письмо с заголовком "Ваша сеть взломана". В нём говорилось, что ИТ-администраторы заблокированы, резервные копии уничтожены, а если выкуп в биткоин не поступит до 2 декабря, каждый день будут отключать по 40 серверов на протяжении десяти дней.

Ваша сеть взломана. Резервные копии уничтожены. 20 BTC до 2 декабря, иначе серверы начнут отключаться.

Любопытная деталь: в самом письме сумма была указана в евро - 700 000, с оплатой именно в биткоин. Пока сотрудники паниковали, за кулисами шёл обычный пересчёт по курсу. Курс биткоина к доллару в те дни держался в районе 37-38 тысяч долларов за монету, так что заявленные 20 BTC действительно складывались в упомянутые прокурорами 750 тысяч.

Скрытая виртуальная машина и пароль, который всё выдал

Следователи ФБР отследили атаку до неавторизованной виртуальной машины, созданной в сети компании ещё 9 ноября 2023 года, за две недели до атаки. Её пароль был "TheFr0zenCrew!" - тот же самый пароль позже появился на учётной записи администратора, на 301 пользовательском аккаунте и на почтовом ящике, с которого отправили требование выкупа.

Утром в день атаки через удалённый рабочий стол с этой машины были созданы задания на удаление 13 учётных записей администраторов, смену паролей для 254 серверов и 3284 рабочих станций, а также на отключение десятков серверов начиная с 3 декабря.

Машину связали с Дэниелом Рейном через его рабочий ноутбук. Как только на скрытой машине начиналась активность, браузинг на ноутбуке Рейна тут же прекращался. Журналы доступа в здание показывали, что он заходил в офис буквально за минуты до того, как его учётная запись авторизовывалась. В день атаки его ноутбук подключился к сети с IP-адреса, привязанного к его дому в округе Уоррен, незадолго до запуска вредоносных заданий. А за несколько дней до этого пользователь той же машины искал в интернете, как очистить журналы Windows через командную строку и как удалённо выключить компьютер через cmd.

Почему биткоин остаётся любимой валютой вымогателей

Биткоин по-прежнему воспринимается многими как анонимный инструмент, хотя на практике это давно не так. Злоумышленники продолжают требовать именно его, а не банковский перевод, потому что криптовалюта биткоин не завязана на конкретный банк и теоретически позволяет быстрее вывести деньги через миксеры и обменники. При этом цена биткоина к доллару крайне волатильна: та же сумма в 20 монет сегодня стоит в разы больше, чем осенью 2023 года, когда писалось письмо с требованием.

Стоимость биткоина на сегодня интересует не только трейдеров, но и криминалистов, которые пересчитывают суммы ущерба по старым делам. Рост биткоина за последние годы превратил даже скромные по меркам 2023 года 20 BTC в куда более заметную сумму, если бы Рейн вдруг решил получить выкуп сейчас. Параллельно растёт и себестоимость биткоина: сложность добычи биткоина постоянно увеличивается, что ограничивает предложение монет и косвенно подогревает интерес к ним как к средству расчёта в теневых схемах, включая обмен рублей на биткоины через серые площадки.

Любопытно, что для злоумышленников не так важно, в какой валюте пересчитывать требование - в евро, долларах или гипотетически в сомах, как это иногда делают для локальных жертв. Главное, чтобы итоговая сумма конвертировалась в биткоин и уходила на заранее подготовленный кошелёк.

Отслеживание транзакций биткоин: почему схема была обречена

Рейну не повезло вдвойне: он не получил ни цента, а следствие размотало дело буквально по цифровым крошкам, не дожидаясь даже перевода средств. Но даже если бы выкуп был выплачен, современные инструменты отслеживания транзакций биткоин серьёзно осложнили бы вывод денег. Аналитики блокчейна научились связывать кошельки вымогателей с биржевыми аккаунтами и физическими лицами куда быстрее, чем несколько лет назад, и об этом хорошо напоминает дело против Романа Шторма и миксера Bitcoin Fog, где прокуратура годами собирала цепочку транзакций для обвинения.

Правоохранители всё активнее изымают и перемещают конфискованную криптовалюту по итогам таких расследований, как показал недавний случай, когда США перевели конфискованные BTC и BNB на сумму около 100 миллионов долларов. А на горизонте маячит и ещё более серьёзная угроза для анонимности старых кошельков: по оценке Европола, квантовые компьютеры в перспективе смогут взламывать криптокошельки, что сделает отслеживание исторических транзакций биткоин ещё проще для следователей.

Приговор и что это значит для бизнеса

В апреле Дэниел Рейн признал себя виновным по двум пунктам обвинения - вымогательство, связанное с угрозой повредить защищённый компьютер, и умышленное повреждение защищённого компьютера. Федеральный судья Майкл Шип приговорил его к 32 месяцам заключения 28 сентября. Теоретически ему грозило до пяти лет по статье о вымогательстве и до десяти лет по статье о повреждении компьютерной системы, а в первоначальной жалобе ФБР фигурировало ещё и обвинение в мошенничестве с использованием электронных средств связи, которое в итоге не вошло в финальное соглашение.

История Рейна - классический пример инсайдерской угрозы, а не внешнего взлома. Он был штатным инфраструктурным инженером и экспертом компании именно по виртуальным машинам, то есть прекрасно знал, какие рычаги дернуть, чтобы парализовать работу сразу сотен серверов и тысяч рабочих станций. Для компаний это повод лишний раз проверить, у кого есть избыточные административные права и как быстро можно заметить скрытую виртуальную машину в собственной сети. А для всех, кто следит за курсом биткоин к рублю, доллару или любой другой валюте по работе или личному интересу, это ещё одно напоминание, что цена биткоина сама по себе давно стала частью языка киберпреступности, даже когда дело не имеет никакого отношения к трейдингу.

Автор

Barbados