Телеметрія Windows допомогла викрити 19-річного хакера: він заробив мільйони, але видав себе одним ідентифікатором

Стоукса, який має громадянство США та Естонії, затримали 10 квітня у Фінляндії під час спроби вилетіти з Гельсінкі до Японії. Згодом його екстрадували до США, де висунули обвинувачення одразу за шістьма статтями, серед яких комп'ютерний злам, шахрайство та участь у злочинній змові.

Вимагання на 100 млн доларів і понад сотня кібератак

Слідство пов'язує Стоукса з хакерським угрупованням Scattered Spider, яке, за даними правоохоронців, здійснило понад 100 успішних кібератак. За інформацією Міністерства юстиції США, діяльність групи принесла її учасникам близько 100 млн доларів.

Одним із найгучніших епізодів стала атака на компанію, що спеціалізується на продажу елітних ювелірних виробів. Зловмисники використали методи соціальної інженерії:

• зателефонували до ІТ-служби через Google Voice, видаючи себе за співробітників компанії;
• переконали працівників надати дані для входу до корпоративних облікових записів;
• отримали доступ до трьох акаунтів, два з яких мали права адміністратора.

Після проникнення в корпоративну мережу хакери викрали службові дані та вимагали викуп у розмірі 8 млн доларів у криптовалюті. Компанія відмовилася виконувати вимоги, однак відновлення ІТ-інфраструктури та вимушений простій бізнесу коштували їй близько 2 млн доларів.

Як телеметрія Windows допомогла слідству

Попри спроби приховати свою діяльність за допомогою VPN, Стоукс припустився помилки, яка стала вирішальною для розслідування. Після реєстрації в сервісі ngrok, що використовується для приховування джерела інтернет-трафіку, його пристрій однаково залишив цифровий слід у вигляді GDID — глобального ідентифікатора пристрою Windows.

Цей унікальний ідентифікатор створюється під час встановлення операційної системи та використовується як частина телеметричних даних. Згідно з матеріалами суду, Microsoft надала слідчим інформацію про GDID, яку зіставили з журналами ngrok і часовими мітками.

Завдяки цьому вдалося пов'язати IP-адреси пристроїв, що використовувалися в Таллінні, Нью-Йорку та Таїланді, зі входами до особистих облікових записів Стоукса в Snapchat, Apple і Facebook.

Помилка, яка поставила крапку в розслідуванні

Додаткові докази правоохоронці отримали завдяки активності самого підозрюваного. У Snapchat він регулярно публікував фотографії з дорогих готелів, демонструючи розкішний спосіб життя.

Остаточно розслідування завершилося після затримання Стоукса в аеропорту Гельсінкі. Під час обшуку в нього вилучили два жорсткі диски, на яких, за твердженням слідства, містилися докази його причетності до кіберзлочинної діяльності.

Водночас американські правоохоронці встановили особу підозрюваного ще у 2024 році. Проте тоді він був неповнолітнім і постійно переміщався між Естонією та Об'єднаними Арабськими Еміратами. Замість негайного затримання слідчі продовжили спостереження, щоб зібрати достатньо доказів для арешту та подальшої екстрадиції до США.