Дело Левина живет и побеждает

Во вторник внимание общественности вновь было приковано к событиям более чем десятилетней давности, когда организованной преступной группировкой с участием русского хакера Владимира Левина была предпринята крупнейшая на тот момент попытка "электронного ограбления". Возвращение интереса к данной теме было вызвано вновь открывшимися подробностями этого дела.

"Сатурн" почти не виден

Аэропорт London Stansted, фото Сергея Рублёва, "Лента.Ру"

Эти обстоятельства породили массу всевозможных предположений и спекуляций, - например, будто Левин имел сообщников в самом "Ситибанке", благодаря чему и получил подробнейшие инструкции по обходу систем защиты. Банк, разумеется, провел внутреннее расследование инцидента; результаты этого расследования, разумеется, не публиковались, - однако не то что об арестах, а хотя бы об увольнениях, которые могли бы быть связаны с делом Левина, до сих пор не известно.

Итак, - похищенные средства практически полностью возвращены владельцам; участники преступной группировки получили и отбыли свои сроки; дело благополучно закрыто и передано в архив, - все довольны. Вопрос о том, кто же на самом деле взломал "Ситибанк", похоже, никого так и не заинтересовал.

Откровения старого хакера

По его словам, группе российских хакеров, занимавшихся исследованием сетей протокола X.25 (технология, и сегодня активно применяемая в банковском деле, телеграфии и в ряде других приложений, а в 1994 году куда более распространенная, чем IP-технология, на основе которой работает Интернет), удалось получить доступ к электронной доске объявлений "Ситибанка". Используя ее в качестве плацдарма, участникам группы удалось получить права доступа к некоторым серверам во внутренней сети. Дальнейшее же было, в первую очередь, прямым следствием безалаберности сотрудников банка. Так, получив доступ к корпоративной электронной почте, хакеры сумели перехватывать письма, в которых в явной форме пересылались пароли и инструкции по доступу к различным системам. В тех случаях, когда этой информации недоставало, пароли к серверам подбирались при помощи простейшей программы перебора, благо были для этого достаточно простыми, чтобы присутствовать в типовом словаре. Несмотря на то, что сеть банка была оснащена системой обнаружения вторжений, системные администраторы оказались настолько самонадеянными и невнимательными, что хакеры смогли разгуливать по их владениям практически не маскируясь - отчетов системы просто-напросто никто не читал.

Эта хакерская группа исповедовала идеологию white hats ("белых шляп"). В хакерской среде присутствует деление на "черные" и "белые шляпы", слегка напоминающее встречаемое в сказках подразделение волшебников на добрых и злых. "Черные шляпы" считают для себя возможным воспользоваться своими знаниями и обнаруженными в чужих системах уязвимостями для совершения деструктивных действий, хищения чужих денег и т.п. Для "белых шляп" это является этически неприемлемым - их основной целью является изучение сложных систем, выявление неочевидных особенностей их работы, получение и распространение информации. Возможно, далеко не все из участников группы были столь искренними идеалистами, - последовавшие события это подтверждают, - а отсутствие попыток воспользоваться доступом к счетам клиентов банка объясняется элементарной осторожностью и наличием головы на плечах. Тем не менее, сервера "Ситибанка" использовались участниками группы в качестве исследовательского полигона и даже игровой площадки - как вспоминает ArkanoiD, его любимым развлечением в то время была игра в "Star Trek", удаленно запущенная на одном из банковских серверов.

Совершенно неудивительно, что в обстановке полнейшей безалаберности системных администраторов русские хакеры в скором времени стали фактически хозяйничать в банковской сети, изучив ее намного лучше ее собственных владельцев. Они располагали поэтажными планами размещения оборудования, имели возможность доступа к счетам клиентов и даже решали мелкие технические проблемы, возникавшие у банковских работников. Эта вакханалия продолжалась несколько месяцев, в течение которых электронные системы одного из крупнейших банков мира находились под практически полным контролем группы российских хакеров, и никто этого даже не замечал, пока однажды один из участников группы не продал рецепт входа в банковскую сеть Владимиру Левину за 100 долларов наличными - в чем, собственно, тут же раскаялся, но было уже поздно. Левин еще только-только размышлял и планировал, как можно с выгодой воспользоваться полученной информацией, а участники группы замели следы и покинули сеть "Ситибанка", чтобы никогда больше туда не возвращаться.

Who is Mr. ArkanoiD?

На обращение по электронному адресу, указанному в качестве контактного в статье, опубликованной на "Независимом обзоре провайдеров", был получен ответ, что контактировать с журналистами напрямую автор не намерен, а любые его контакты с прессой следует осуществлять через Александра Милицкого - совладельца и руководителя "Обзора", одного из ведущих российских экспертов в области Интернета и телекоммуникаций.

"Независимый обзор провайдеров" хорошо известен на телекоммуникационном рынке как ресурс, периодически публикующий острые и неоднозначные, но достоверные и качественные статьи, - достаточно отметить, что громкий скандал о пиринговых войнах магистральных интернет-операторов разразился в конце 2002 года именно после публикации на "Обзоре". Сам Александр Милицкий заявляет, что у него нет абсолютно никаких оснований сомневаться в достоверности сообщаемых в статье сведений. Раскрыть личность автора он, как утверждается, не смог бы при всем желании - их общение происходит через Интернет, и г-ну Милицкому неизвестны ни настоящее имя, ни адрес ArkanoiD'а. Впрочем, и те сведения, которые могли бы так или иначе привести к раскрытию псевдонима, он отказывается сообщить иначе, чем по решению суда (ссылаясь на Закон РФ "О средствах массовой информации"), хотя при этом он отдельно подчеркивает, что с точки зрения действовавшего на тот момент российского законодательства автор статьи не совершил никакого преступления, а сроки давности по американским законам уже истекли. Он сообщил лишь, что ArkanoiD живет в Санкт-Петербурге, работает экспертом по информационной безопасности в одной из IT-компаний и не занимается никакой незаконной деятельностью.

Александр Милицкий, один из ведущих российских экспертов в области Интернета и телекоммуникаций, руководитель сайта Provider.net.ru

На российской и международной хакерской сцене имя ArkanoiD хорошо известно, и в ряде версий неофициальных хит-парадов компьютерного андерграунда он, наряду с такими персонажами, как Solar Designer, относится к числу наиболее квалифицированных хакеров на территории бывшего СССР. Попытки навести справки в андеграундной среде, скорее, дело запутали, нежели прояснили, - например, по некоторым слухам, ArkanoiD де-юре вообще не существует в природе, поскольку у него нет и никогда не было паспорта. По некоторой информации, его зовут Алекс Смирнов, однако нет совершенно никакой уверенности, что это его настоящее имя. В "Живом журнале" существует проживающий в Петербурге пользователь с похожим псевдонимом, но в день публикации статьи он обнародовал сообщение, в котором заявил о своей полнейшей непричастности ко всей этой истории.

Тем не менее, автор статьи, несомненно, является реальным лицом и, по всей видимости, действительно сыграл весьма существенную роль во взломе сети "Ситибанка" в 1994 году.

Новые лица

"…Продолжение истории было примерно в 94 году. Тогда ко мне в гости зашел мой знакомый, назовем его Буказоид, и очень туманно рассказал, что он нарыл в Спринте кучу интересных хостов. Я вспомнил про свое копание в недрах Спринта и быстро разговорил его :). Буказод, как оказалось, очень полюбил одну BBS, которую зачем-то установили в Ситибанке, нашел там кучу дыр, позволяющих устанавливать произвольные лимиты пользователям, и сидел там регулярно, используя ее для общения с друзьями из разных городов (благо платил за все Ситибанк).

…

Для удобства хакеров у серверов была команда help, а так же команды, показывающие конфигурацию, список известных IP-адресов по ARP, список известных сервисов (хостов в LAT и локальных сервисов), причем с комментариями. Я очень быстро наваял скрипт, который скачивал список сервисов, потом коннектился со всеми и записывал то, что они отвечали. ТАким образом было найдено куча серверов-шлюзов в другие сети, outdial'ы - доступ к модемам с возможностью звонить по всему миру, сервисы, позволявшие устанавливать соединения по X.25 от имени Ситибанка (только по Спринтнету и Тимнету), причем оплаченные соедиенния, что позволяло соединяться с теми хостами, которые отказались принимать неоплаченные соединения или соединения из России, что позволило вновь воспользоваться ранее изученными шлюзами в Интернет из Спринта и outdial'ами Спринта :)
…

Наконец я нашел то, что искал - выход в Интернет. Один из роутеров, в Чили, к которому был подключен канал на какой-то местный банк, имел адрес этого банка на интерфейсе к нему. А из сетки того банка был открыт роутинг в Интернет. Зайдя телнетом на этот роутер, можно было с него дальше телнетом идти куда угодно. И обратно - можно было из Интернета зайти на этот роутер, а с него - во внутреннюю сеть Ситибанка и дальше, например, по X.25.

Буказоид тоже не дремал. Программировать ему было лень, поэтому он копал не вширь, а вглубь. Один из терминальных серверов имел занятную дырку - он не отслеживал отключение клиентов, попавших на него по X.25. Любой клиент, пришедший на него по X.25, оказывался подключенным к тому компьютеру, с которым работал ранее оказавшийся на том же порту товарищ если он забыл отрубиться от него. Для удобства, у серверов доступа была команда show users, показывавшая всех клиентов на всех портах, и адреса или имена компьютеров, к которым они были подключены. Заходишь на сервер, набираешь show users, отключаешься от него и начинаешь подключаться к тем портам, на которых кто-то висит. Если порт уже свободен, то оказываешься в нужном месте. Буказоид так быстро попал на парочку VAXов вместо их админов, завел себе там кучу логинов и занялся изучением VMS и деятельности админов Ситибанка. Собирал там какие-то файлы, читал переписку и т.д. Например, админы любили посылать друг другу большие списки с администраторскими паролями машин :)))

Естественно, на VAXах был замечательный контроль безопасности, результатом которого были огромные отчеты по всей подозрительной деятельности ... Буказоид нашел один такой - в нем были все следы его работы. Уверен, что тот отчет был распечатан, переплетен и поставлен на полку :)). Из их переписки выяснилось, что про проблемы с этим сервером доступа всем было известно ... Но никого это особо не волновало - его планировали заменить через полгода-год. дело в том, что считалось, что хакеры не могут залезть через Спринт - в американском Спринте было хорошо поставлено отслеживание хакеров и туда никто не совался. Но мир стал гораздо теснее. Кроме нас в Ситибанке копались хакера из Болгарии и других мест.

Естественно, не раз я и Буказоид оказывались подключенными через этот глючный сервер и к компьютерам, отвечающим за финансовые операции. Как вместо админов, так и пользователей, которые работали с некой системой "клиент-банк" через терминал. Можно было просто ввести номер счета и перевести со счета клиента деньги. Но наличие мозгов помогло избежать криминала - понятно было, что украсть деньги и остаться при этом незамеченным не получится, а если получится, то не получится выжить после этого :) Поэтому компьютеры с деньгами мы обходили стороной - не это было нужно.

Через некоторое время использование Ситибанка стало обычной рутиной - просто удобная измученная дыра для выхода в разные места. Примерно через полгода прогремел гром - Левин ограбил банк. Через пару дней ко мне прибежал наш общий знакомый с Буказоидом, и с ужасом в голосе поведал, что это он поведал Левину про тайну, получив за это $100. По счастливой случайности, я был с Левиным незнаком, поэтому меня пронесло и на допросы не таскали. Но урок был хороший - можно было загреметь за чужие грехи легко. Хотя сами мы УК не нарушали - в то время не было статей об несанкционированном доступе в УК, а денег мы не воровали :)"

Об авторе этого отрывка нам удалось выяснить, что его зовут Анатолий, он также проживал ранее в Петербурге и является известным специалистом в области телекоммуникаций.

Очевидно, под псевдонимом "Буказоид" в этом отрывке упоминается никто иной, как ArkanoiD, опубликовавший статью на "Независимом обзоре провайдеров". Сам отрывок был явно написан задолго до момента ее публикации, и может считаться независимым подтверждением правдивости изложенной там истории.

Бородатая сенсация

"К вопросу о том, за что я не люблю журналистов. Я уже делал несколько попыток так или иначе рассказать эту историю - и каждый раз она была чудовищно переврана. В частности, особенно меня раздражает тот факт, что каждый (!) раз, когда мне случалось давать интервью, журналисты в конечной редакции - которую "по техническим причинам" "забывали" мне показать, решали "упростить" мой рассказ и представить дело так, что это я и был тем человеком, который продал Левину материалы исследовательской группы. Хотел бы сказать "бог им судья", но, будучи далек от христианской религии, скажу - плюньте в рожу этой мрази. Подобное обвинение ставит под сомнение не только мой профессионализм, а даже наличие элементарного здравого смысла. Разумеется, я хорошо понимал цену этой информации, и ни о какой подобной сделке и речи быть не могло. Да, я ошибся и моя ошибка меня многому научила - но идиотом я не был никогда."

"…Как выглядит человек, который долгое время лидирует в списке лучших хакеров? Коричневое кожаное пальто, темные очки, черные волосы до плеч, какая-то смесь из хиппи, Распутина и злодея из компьютерных фильмов. И этот человек со своим компьютером держит в страхе русские банки, теле- радиостанции и обладателей кредитных карточек?

…

Аркеной проникал в больничные карты городских больниц, взламывал коды кредитных карточек и манипулировал счетами новых русских. Как утверждает сам Аркеной, он делал это для своего удовольствия, а не с целью обогащения…"

После появления в печати подобных образчиков журналистского искусства неудивительно, что участники тех событий надолго прервали какие-либо контакты с прессой, а сегодня предпочитают рассказывать о них самостоятельно, отгородившись от журналистов посредниками. Если бы тон тогдашних публикаций был менее несерьезен, вполне вероятно, история могла развиваться и иначе - ведь на момент, когда они вышли из печати, сроки давности по американскому законодательству еще не истекли, и участники взлома "Ситибанка" могли бы быть привлечены к ответственности наряду с Левиным и его подельниками.

Тем не менее, и этого хватило, чтобы в околокомпьютерной среде история о взломе "Ситибанка" воспринималась как общеизвестная и чуть ли не классическая, а знаменитые 100 долларов, которые Левин заплатил за его секреты, стали притчей во языцех. Упомянутые публикации раскрывают ряд технических подробностей и дают представление о масштабе власти, которую русские хакеры в течение нескольких месяцев имели над сетью одного из крупнейших банков мира, - однако ничего принципиально нового, по сути, не сообщают.

Дмитрий Леонов, один из ведущих российских экспертов по компьютерной безопасности, создатель сайта BugTraq.ru, один из авторов "Атаки из Internet"

Масштабы угрозы

Возможно ли повторение подобной истории со стороны организованной преступной группировки, имеющей более корыстные устремления, нежели в описываемом случае? Авторы "Атаки из Internet" относятся к такой перспективе весьма скептически:

"...Проблема сетевых кракеров в том виде, как она обычно преподносится СМИ, на самом деле отсутствует. Да, много сил должно уделяться защите компьютерных систем от "псевдохакеров", которые считают себя профессионалами, умея запускать различные "нюки" (nuke) или подбирать пароли типа "guest". Они способны нанести этим определенный урон. Существуют, безусловно, и более квалифицированные группы кракеров, занимающиеся, например, взломом WWW-серверов для "увековечивания" собственного имени. Но у нас вызывает большое сомнение существование профессионалов, а тем более налаженной индустрии, которая допускает взлом любого более-менее защищенного хоста "на заказ". По собственному опыту мы можем предположить, что цена такого взлома должна быть в несколько раз больше, чем ценность находящейся там информации, поэтому в ход идут старые проверенные методы типа вербовки или подкупа.

Резюмируя, мы считаем, что сетевых кракеров, специализирующихся на вскрытии хостов за деньги или с целью использования полученной информации для собственного обогащения, практически не существует. Их квалификация должна быть настолько высока, что они наверняка являются хакерами, а не кракерами."

Впрочем, ArkanoiD с ними не вполне согласен: "В большинстве случаев действительно верно, что проще добиться решения задачи другими методами, но почему-то многие хотят именно так. А раз есть спрос, значит, наверняка возникнет и предложение..."
Сергей Рублёв