(Блумберг) -- В 9 часов вечера 22 сентября прошлого года группа офицеров полиции Лондонского сити ждала у номера M15 в Travelodge Bicester, однозвездочном бюджетном отеле в Оксфордшире, Англия, подходящего момента, чтобы ворваться внутрь. По другую сторону двери был кто-то, кого они считали стоящим за двумя серьезными взломами данных: один - в Uber Technologies Inc., а другой - за беспрецедентной утечкой кода для неизданного сиквела Grand Theft Auto от Rockstar Games Inc.
Сложная операция по розыску и наблюдению помогла полицейским выйти на пользователя платформы обмена сообщениями Telegram по имени @lilyhowarth. Однако за дверью оказалась не Лили Ховарт, а 17-летний Арион Куртаж - уже освобожденный под залог за дерзкий крупномасштабный взлом компании—производителя чипов Nvidia Corp. и вторжение в британскую телефонную компанию BT Group Plc. Член теневой международной группы слабо связанных онлайн-вымогателей, которые называли себя Lapsus$, Куртадж был помещен в комнату полицией для его собственной безопасности после того, как был разоблачен хакерским сообществом. Офицеры обнаружили, что Лили Ховарт была просто еще одним прозвищем, за которым он скрывался из-за своей хакерской деятельности.
Сейчас Куртажу 18 лет, и он был в центре семинедельного уголовного процесса в Лондоне вместе с 17-летним сообвиняемым мужчиной, имя которого не может быть названо, поскольку он несовершеннолетний. Этим двоим, которые познакомились онлайн, предъявили обвинение по 12 пунктам, включая шантаж, мошенничество и хакерские атаки. Куртай, который был единолично ответственен за половину обвинений, был признан судьей непригодным для судебного разбирательства еще до его начала из-за его сложного расстройства аутистического спектра — что означает, что у него не может быть установлено наличие “преступных намерений”, и ему может быть вынесен общественный приговор или отправлено в психиатрическую клинику. -лечебное учреждение, а не тюрьма после того, как присяжные на этой неделе признали его виновным по всем пунктам обвинения.
Адвокаты защиты утверждали, что доказательства, связывающие этих двоих с инцидентами, были недостаточно вескими и что не было никакого способа узнать, был ли Куртадж ответственен за взломы. В среду присяжные вынесли иное решение. Позднее судья примет решение о будущем Куртая. Его коллега-хакер был признан виновным по трем пунктам обвинения и невиновным по двум другим. Ранее он признал себя виновным по двум обвинениям, связанным с BT.
“Несмотря на результат решения присяжных, которое может быть обжаловано, мы надеемся, что это дело прольет свет на то, как уязвимые люди с тяжелыми нарушениями развития нервной системы взаимодействуют с полицией и системой уголовного правосудия’, - заявила Ниам Мэтьюз-Мерфи, адвокат Куртажа, в заявлении для Блумберг.
Дерзкие взломы технологических фирм компанией Lapsus$ поставили в тупик экспертов по кибербезопасности с тех пор, как в период с 2021 по 2022 год она провела серию громких атак, причинив ущерб своим целям на миллионы долларов. Судебный процесс предоставил редкое представление о работе этого секретного сборища технических гиков, показав, как были организованы вторжения и мотивы группы: дурная слава, деньги, а также просто “лолз”. Неясно, сколько денег заработал Lapsus$ — ни одна из компаний не призналась, что платила ему какие-либо деньги. Полиция не смогла получить доступ к крипто-аккаунтам, связанным с подростками.
История о том, как эти молодые люди взяли верх над некоторыми из крупнейших технологических компаний США, была составлена на основе судебных разбирательств в Лондоне, документов, свидетельских показаний, полицейского расследования и источников в индустрии кибербезопасности. Власти Великобритании сотрудничали с правоохранительными органами США, включая Федеральное бюро расследований. В июльском отчете Агентства кибербезопасности и защиты инфраструктуры США говорится, что, хотя Lapsus$ была похожа на любую другую киберпреступную группировку, она “была уникальной по своей эффективности, скорости, креативности и смелости”.
Возьмем, к примеру, дело о крупной краже автомобиля.
С относительной легкостью из гостиничного номера в Оксфордшире Куртай — вместе с другими неизвестными членами Lapsus$ — украл коммерчески важный код и видеозапись последней части разрабатываемой серии Grand Theft Auto. Согласно обвинению, они проникли в системы Rockstar 16 сентября 2022 года с помощью социальной инженерии, “выдав себя за сотрудника или подрядчика, который "потерял" или "не смог вспомнить" свой пароль”.
По словам прокуроров, после того, как им не удалось войти в систему с учетными данными бывшего сотрудника, они использовали учетную запись, привязанную к подрядчику по имени Сивар Джрад (siwar.jrad). Оказавшись внутри, предъявите удостоверения бывшего сотрудника “mohd.по их словам, ”хидайтулла" использовались для доступа к части системы, связанной с разработкой игр. Журналы Rockstar показывают, что устройство, использованное для регистрации, точно соответствовало типу и спецификации iPhone, изъятого у Куртая в Travelodge Bicester.
На следующий день после получения доступа Куртаж скачал серию видеороликов и проектных документов для сиквела GTA, а также исходный код — все это строго конфиденциально — прежде чем часть из них попала в сеть. Утечка позволила несанкционированно взглянуть на одну из самых ценных игр в индустрии. Ранее агентство Bloomberg сообщало, что оно было настолько редким, что некоторые люди усомнились в его подлинности, когда оно впервые появилось.
Затем Куртай использовал форум фанатов GTA, чтобы привлечь внимание к утечке контента, назвав себя TeaPotUberHacker — намек на его другие хакерские работы. Затем он зашел в аккаунт Rockstar в мессенджере Slack и пригрозил опубликовать исходный код, если фирма не свяжется с ним. К 19 сентября компания отключила ему доступ и сообщила об этом в ФБР. Но ущерб был нанесен.
“Это одно из крупнейших развлекательных заведений всех времен, и что-то подобное испортило бы наш маркетинг”, - сказал Дэниел Эмерсон, директор по правовым вопросам Take 2 Interactive Software Inc., дочерней компании Rockstar, давая показания в суде. По оценкам Emerson, компания потратила более 1,5 миллионов долларов на юридические и коммуникационные фирмы в дополнение к более чем 2 миллионам долларов на сторонних поставщиков и сотням потраченных впустую часов для старших сотрудников. Rockstar отказалась отвечать на вопросы о том, как это так легко далось подросткам и какие барьеры это создало с тех пор.
Грядущая Grand Theft Auto VI в той или иной форме находится в разработке с 2014 года, и ее так горячо ждут, что, когда Take 2 впервые признал о ее существовании в 2022 году, это привело к резкому росту цен на нее. В новой игре впервые появится играбельная главная героиня-женщина.
Куртай был настолько искусен во взломе, что всего несколькими днями ранее он использовал аналогичную тактику, чтобы проникнуть в системы Uber и UK fintech Revolut Ltd. Адвокаты объяснили, что Куртаж пытался получить доступ к 74 000 записям клиентов Revolut, предположительно, чтобы продать эту информацию на черном рынке. Точное число пострадавших клиентов неизвестно. В связи со взломом Uber Куртаж разослал сотрудникам насмешливые сообщения, что вынудило фирму временно закрыть все приложение. Uber заявила, что ее финансовые потери составили около 2,8 миллиона долларов.
Когда полиция провела обыск в гостиничном номере Куртая, они обнаружили iPhone 13 Pro Max, слегка прикрытый покрывалом, сообщил следователь на суде. Позже этот телефон был подключен к некоторым взломам, в которых он был замешан. Полиции не удалось получить доступ к устройству, поскольку Куртай отказывается сообщить PIN-код. Первой серией правонарушений, в совершении которых обвинили Куртаджа и неназванного подростка, была массовая замена SIM-карт у пользователей телефонной службы EE от BT в 2021 году. Подмена SIM-карты - это когда мошенники получают контроль над номером телефона, чтобы затем получать сообщения и звонки, которые позволяют им получить доступ к банковским счетам и крипто-кошелькам.
Дарья Ясинская, клиентка EE, которая стала жертвой, заявила в свидетельских показаниях, что весь контент – более 54 000 фунтов стерлингов (69 000 долларов США) – с ее онлайн-аккаунта Coinbase был снят. У Роберта Моллоя, еще одной жертвы, с его онлайн-счета в Monzo bank было списано 2000 фунтов стерлингов. Позже в тот же день он получил электронное письмо от нападавших со словами “спасибо за ps, братан” — жаргонное обозначение денег.
Uber, Revolut и EE не ответили на запросы о комментариях.
Куртай и подросток были арестованы полицией в январе 2022 года. Подросток признал себя виновным по некоторым аспектам обвинений, связанных с BT. Он признал свою причастность к проведению обменов и мошенничеству, но отверг обвинения в шантаже.
Вторым взломом, который предприняли двое подростков вместе с другими участниками Lapsus$, была дерзкая атака на Nvidia 15 февраля 2022 года. По словам двух чиновников, которые в то время беседовали с Bloomberg, в связи с ростом напряженности на украинской границе правительство США первоначально опасалось, что взлом мог быть осуществлен из России. Ненадолго. По словам следователей, Lapsus$ вскоре обсуждал успех взлома в онлайн-чатах Telegram. Используя свои методы подписи, он захватил контроль над учетными записями подрядчиков и сумел украсть 1 терабайт коммерчески важного программного обеспечения компании, известного как прошивка. Члены группы обнародовали 80 ГБ этой информации, а затем потребовали от Nvidia заплатить выкуп, если она захочет заблокировать публикацию остальной части.
Адвокаты обвинения заявили, что полицейским следователям и экспертам удалось связать Куртажа и его коллегу-хакера с различными инцидентами с помощью сети интернет-протокольных адресов, электронных писем, групп чата Telegram и методов их подписи. Общим для каждого взлома была социальная инженерия путем кражи сведений о законных игроках для проникновения в системы, захвата данных и попыток вымогательства за них денег, а также визитная карточка с подписью в виде грубого изображения — например, во взломе Uber была использована фотография “обнаженного эрегированного пениса”. загружено.
“Юношеское желание показать два пальца тем, на кого они нападают”, - сказал адвокат обвинения Кевин Барри. Для защиты это были попытки глупых подростков посмеяться.
В годы, предшествовавшие этим инцидентам, Куртадж жил дома в Оксфордшире со своей матерью и младшим братом. Во время судебного разбирательства детский врач Куртая Николас Хиндли описал его как “особо слабоумного человека”, добавив, что его первый контакт с подростком произошел после того, как школа для детей с особыми потребностями, которую он посещал, не смогла его контролировать. Аутизм, СДВГ и другие сложные диагнозы Куртажа означают, что он функционирует в лучшем случае на уровне 1% своих сверстников, заявил Хиндли суду.
Куртадж, который закончил свое формальное образование в раннем подростковом возрасте, был ненадолго помещен в социальную службу за физическое насилие над своей матерью. Это закончилось тем, что он сам подвергся нападению со стороны сотрудника, который был осужден за это деяние. Мать Куртая забрала его обратно, но ей было трудно следить за тем, как он пользуется компьютером. Клаудия Кэмден-Смит, врач, ответственная за его лечение во взрослом возрасте, сказала, что хакерство дало ему “уличную репутацию”.
“Он не хочет отличаться, он хочет быть как все, хочет, чтобы его считали модным и рискованным”, - сказала она суду, добавив, что его диагноз не в полной мере отражает то, насколько он уязвим.
С тех пор как Куртаж вышел под залог в связи с нападениями GTA и Uber, он содержался в Институте для несовершеннолетних правонарушителей Фелтхэма, где, по словам врачей, он был крайне расстроен, обливался мочой охранников и разрушал тюремную инфраструктуру. Теперь судье Патриции Лис предстоит принять решение о том, что его ждет впереди.
“Несмотря на то, что он не получал формального образования с 14 лет, было установлено, что он совершил ряд нарушений безопасности, которые проникли и выявили слабые места в системах крупнейших мировых компаний, которые тратят миллионы, пытаясь сделать свою кибербезопасность непроницаемой”, - сказал адвокат Куртажа Мэтьюз-Мерфи. “Должна существовать более совершенная система, которая позволяет использовать навыки таких людей более позитивным образом, которая защищает корпорации, признает и поддерживает медицинские потребности уязвимых преступников и предлагает более взаимовыгодный результат для всех заинтересованных сторон в таких ситуациях”.
-- При содействии Эндрю Мартина и Уильяма Тертона.
©2023 Bloomberg L.P.
