Одна з найненависніших функцій Windows допомогла спіймати зухвалого 19-річного хакера

Більшість користувачів роками скаржаться на функцію збору даних у Windows. Однак саме вона допомогла упіймати зухвалого 19-річного хакера.

Мова йде про Пітера Стоукса, який має громадянство США та Естонії. Фінська поліція затримала його 10 квітня під час спроби сісти на рейс з Гельсінкі до Японії. Нещодавно хакера екстрадували до США. Його визнали винним за шістьма пунктами звинувачення, включно зі змовою, комп’ютерним зламом та шахрайством.

Стоукса пов’язують з хакерським угрупованням Scattered Spider, яке вже здійснило понад 100 мережевих зламів. Угруповання розвинуло таку активність, що колись навіть обговорювався варіант зав’язати з вимаганням. Однак дослідники підозрюють, що це було не більше ніж хитрість.

За даними Мін’юсту США, внаслідок своєї діяльності угруповання заробило близько $100 млн. Ключове звинувачення проти Стоукса пов’язане з атакою на компанію з продажу елітних ювелірних виробів. Зловмисники подзвонили до служби підтримки  IT-відділу компанії через Google Voice, представившись співробітниками, та переконали надати облікові дані.

Таким чином вони отримали доступ до трьох облікових записів, два з яких мали права адміністратора. Після цього вони викрали дані та вимагали за них $8 млн у криптовалюті. Компанія відмовилась сплачувати викуп, однак подолання наслідків зламу та змушений простій у роботі обійшовся їй у $2 млн.

Спіймати Пітера Стоукса вдалось завдяки ідентифікатору пристрою Windows під назвою GDID — глобальний ідентифікатор пристрою. Такий ідентифікатор присвоюється після кожного встановлення Windows, непомітно записуючи телеметрію, специфічну для пристрою. Стокс намагався приховати власну особистість, використовуючи VPN, а потім зареєструвався в ngrok — сервісі, який маскує джерело трафіку. Однак це не допомогло приховати його GDID.

Згідно з постановою суду, Microsoft передала цей ідентифікатор слідчим, спираючись на дані логів  ngrok з відмітками часу для встановлення місця положення. Агенти зіставили IP-адресу пристрою в Таллінні, Нью-Йорку та Таїланді з часом входу в акаунти хакера в Snapchat, Apple та Facebook.

При цьому в Snapchat Стоукс постійно публікував фото з відпочинку у дорогих готелях. Затримка в аеропорту все вирішила, оскільки при собі хакер мав два жорстких диски з доказами. Його особистість була викрита ще у 2024 році, однак тоді він був неповнолітнім й курсував між Естонією та ОАЕ. Тож слідчі просто спостерігали та чекали.

Джерело: TechSpot