マーカス・ハッチンス氏は自身をハッカーだとは思っていません。しかし、かつて自分がしていたことを表す言葉として広く使われているため、その呼び名を受け入れています。
英国アスコット生まれの同氏は、2017年当時、22歳でロサンゼルスを拠点とするサイバーセキュリティ企業でサイバー脅威アナリストとして働いていました。この年、同氏は特に凶悪で破壊的なクリプトワーム(ワームによって拡散するランサムウェア)であるWannaCryのキルスイッチを発見したことで、世界中から英雄と称えられることになります。このランサムウェアの復号機能は動作しなかったため、一度暗号化されたファイルを復号する手段は存在しませんでした(事実上のワイパーだったのです)。一方でワーム機能は非常によく機能し、わずか数日のうちに約150カ国で20万台以上のコンピューターが被害を受けました。
世界を救ってからわずか3カ月後、同氏はFBIに逮捕されました。
これは「ハッカー」という存在が歩む、典型的に入り組んだ世界です。本シリーズHacker Conversationsでは、そうした世界の解明を試みています。
若き日のマーカス・ハッチンス
ハッチンス氏は、多くのハッカーとは一線を画す点があります。それは、何かを変えたいという願望ではなく、物事の仕組みを理解したいという強烈な欲求だけを持っていたことです。「何かがどう機能しているのか分からないままだと、落ち着かないんです」と同氏は説明します。
理解する対象そのものを変えたいわけではありませんが、その理解は、物事がどう機能するか、あるいはなぜ機能しないのか、機能するはずがないのになぜか機能してしまうのか、といったことへの洞察につながっています。
「たとえば『この電気系統がどう動いているのか見てみたい』と思うんです。そして『よし、電子回路の仕組みは理解した。次は物理レベルでどう動いているのか見てみたい、その次は量子物理学のレベルで』というふうに、どんどん深みにはまっていく感じです。特定のシステムがどう動いているのか、とにかくもっともっと知りたくなってしまうんです」
この強烈さは、生来のハッカーによく見られるニューロダイバーシティ(神経多様性)の影響もあるのかもしれません。「あるタスクに十分興味を持てば、そこに多くの時間を注ぎ込むのはとても簡単です。当然その裏返しとして、興味が持てないタスクについては、私はほとんど役に立たなくなります」
このような二極化がもたらす自然な結果として、ある分野については深い理解を持つ一方、他の分野についてはほとんど知識がない、という状態が生まれます。同氏は13歳のときに初めてコンピューターを与えられました。これが興味の対象となり、その後数年でVB、PHP、C、C++、アセンブリを独学で習得しました。ただしその代償として、学校の他の科目はおろそかになりました。
「私はまさに、特定の分野だけ突出したスキルを持ちながら、それを生かす建設的な出口を持たない若造でした。学業の資格はすでに望み薄でした。私は基本的にただコードを書く人間でした」
類は友を呼びます。この組み合わせは、同じように学業の資格や明確な進路を持たない他のコーダーたちを引き寄せました。「かなり早い時期からサイバー犯罪フォーラムに関わるようになりました。私のスキルは主にコーディングだったので、ハッキングをするというより、ハッキングツールを書く側になっていきました」。これが、同氏が自分をハッカーだとは考えたがらない理由を説明しています。ハッカーたちと共に、あるいは彼らのために働くことはあっても、自ら手を下してハッキング行為をしたことはなかったのです。
「ハッカーが使うソフトウェアの販売に関わるようになりました。ハッキングを支援するためのものもあれば、ハッキング自体を実行するためのものもありました。そうしているうちに、あるサイバー犯罪グループの一員となり、そこで専属のマルウェア開発者になっていました。私の仕事は、バックドアや、アンチウイルスを無効化しセキュリティシステムを回避するためのコードを維持管理することでした」
この道のりは、まだ学校に通っていた頃に始まりました。同氏は時折、ほんの一瞬、単なる悪ふざけとして学校のコンピューターをシャットダウンしていました。2013年には、マルウェアの仕組みに焦点を当てた匿名ブログ「MalwareTech」を書き始め、そこには概念実証(PoC)コードも含まれていました。このブログはサイバーセキュリティの専門家とサイバー犯罪者の双方から人気を集めましたが、犯罪者側は同氏のPoCに対してお金を払う意志があり、同氏はそれを止めませんでした。
同氏が意識的に「悪」になろうと決意した瞬間は一度もありませんでした。「『これはOKだが、あれはダメだ』という明確な線引きは一度もありませんでした。物事は白黒はっきりしているわけではなく、すべては大きなグレーの尺度の中にあるんです」と同氏は語ります。始まりは、あるスキルを持っていて、それをただ売っていただけでした。自分自身がそのスキルで何をするかと、相手がそのスキルで何をするかの間には、断絶がありました。「私の視点では、コードを書いて、それをある人物に売り、その後は二度とそれを目にすることはない。あの世界は基本的にそういう仕組みになっているんです」
当時、同氏はまだ若者でした。「『このコードを売った後、どこへ行くのか。彼らはそれで何をするのか』ということを、実はあまり考えていませんでした。愚かではなかったので、ろくなことにならないだろうとは想像がついていました。しかし、実際に何が起きているかを直接知らないでいることで、もし自分自身の手で――たとえば銀行強盗や強盗のように――同じことをしていたら存在したであろう心理的な壁の多くが取り除かれていました。それなら明確でしょう。『自分は今、他人を傷つける悪いことをしている』と」
当時の感覚としては、それはむしろ自分の台所用ナイフを転売するようなものに近かったといいます。「私の台所用ナイフで彼らは何をするだろうか。野菜を切るのか、それとも人を切るのか。実際に何が起きているかをきれいさっぱり知らずにいることで、しばらくの間は感情的な距離を置くことができるんです」
しかし、その距離感はいつまでも続きませんでした。時間が経つにつれ、自分のコードを使っている組織の一部に近づきすぎるようになり、自分のコードが引き起こしている害が見えるようになっていきました。「そうしたことに自分が関与していると知っているのが、単純に嫌になったんです。私は関係を断ち切り、まっとうな仕事を探すことに決めました」
成熟していくヒーロー、マーカス・ハッチンス
多くの若いハッカーの行動には、ある種の没道徳性があります。しかし、こうした若きハッカーたちが、道徳(白)と不道徳(黒)の間で意識的な選択を下す瞬間が訪れます。ハッチンス氏も例外ではなく、まさにその時が訪れたのです。
道徳を選ぶ決断が、親の教育に基づく人もいれば、宗教的な背景に基づく人もいます。ハッチンス氏の場合は、自身の成熟とともに育まれていった、善と悪の違いとその選択に対する生来の理解によるものだったようです。同氏はハッキングの有害な側面を退ける道を選びました。
MalwareTechが同氏を犯罪の世界に引き入れたのと同様に、そのブログはサイバーセキュリティの専門家たちとの出会いももたらしました。2016年、同氏はロサンゼルスの企業で研究開発リードのポジションを得て、米国へ移住します。これはオリジナルのWannaCry感染拡大の1年前のことであり、同氏はこの時すでに正規のサイバーセキュリティ専門家となっていました。
同氏のニューロダイバーシティがもたらす効果を思い出してください。あるタスクを面白いと感じれば、深い集中力を発揮できるのです。WannaCryは同氏の興味を引きました。「当時、WannaCryは大変な出来事でした。何の関連性もない組織が、国中いたるところで次々とダウンしていくのに、誰もその理由が分からない。それが私の興味を引きました。それまで見たことのないようなものだったからです」
WannaCryは、流出したNSAのエクスプロイト「EternalBlue」を基盤としており、利用可能なSMBポートを持つコンピューターをインターネット上でスキャンし、「DoublePulsar」と呼ばれるバックドアを開いていました。攻撃者たちはこれらを使って攻撃可能なターゲットを見つけ出し、自分たちのランサムウェアを配信していました。その結果生まれたのが、人の手を借りずにコンピューターからコンピューターへと連鎖的に自己複製していくランサムウェアでした。エクスプロイト自体はNSA由来のもので、正常に機能していました。一方、ランサムウェア部分は攻撃者らによってコーディングされたものでしたが、一部しか機能していませんでした。暗号化は機能したものの、復号は失敗しており、結果として凶暴かつ破壊的なワイパーと化していたのです。
「このマルウェアを解析していたところ、コードの中に未登録のドメインがあることに気づきました」。これ自体は珍しいことではありません。マルウェアの中にこうしたドメインを見つけた研究者は、それを監視し理解する助けになるため、そのドメインを登録することがよくあります。そこでハッチンス氏は、iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea dot comを$10.69で登録しました。
状況を確認できるようになった同氏は、このサイトが猛烈な数のアクセスを受けており、数分ごとに数万件のクエリを受信していることに気づきました。「それが何をしているのか理解し、止める方法を探していたところ、WannaCry自体の活動が止まったことに気づいたんです。このドメインは、インターネット上に存在してクエリに対して200というステータスコードを返す、それだけでキルスイッチとして機能していたのです」(受信側のWebサーバーが送信元にメッセージを受け取ったことを伝える方式です)。
なぜこのマルウェアがこのようにコーディングされていたのか、その奇妙なアドレスにWebサーバーが存在するだけでなぜ動作が止まってしまうのか、その理由を本当の意味で理解している者は誰もいません。さまざまな仮説や推測はありますが、その理由自体はあまり重要ではありません。「基本的にはそれが機能を無効化するんです。ですから、私たちがすべきことは、そのWebアドレスを向けたWebサーバーを維持し続けることだけでした。そのサーバーがダウンしない限り、マルウェアは拡散できない状態が続くのです」
英雄から悪役へ
3カ月後、まだロサンゼルスに滞在していた同氏は、FBIに逮捕されました。「基本的には、それ以前に私がしていたことが理由でした。彼らがそれを知ったのはずっと後になってからでしたが、それでも何らかの理由で、彼らは依然として私を起訴したいと考えたのです。私は、すでに以前にやめていた過去の行為をめぐって、米国の司法制度の中を歩まされることになりました。WannaCryの後の3年間は、WannaCryを止めるよりずっと前に起きた行為に関連するこの裁判で争うことに費やされました」
同氏は裁判を待つ間、ネバダ南部拘置所に収監されていました。しかし、収監から1週間後、タラ・M・ウィーラー氏(現在はTPO GroupのCSO、EFFの理事、Red Queen TechnologiesのCISOなど複数の要職を務める人物)が名乗り出て、3万ドルの現金保釈金を支払い、同氏を一時的に釈放させました。
裁判は2年間続き、最終的にハッチンス氏はコンピューターハッキングと盗聴装置の広告(同氏に対して起こされた数多くの容疑のうちの2つ)について有罪を認めました。しかし裁判官は、同氏がすでに自ら更生していたことを認識していたようで(おそらくWannaCryの一件も考慮したのでしょう)、1年間の保護観察という判決を下しました。その後、同氏は米国に留まることを選びました。
受動的な悪役から能動的な善玉へと転じたハッチンス氏の経歴は、極めて珍しいものです。これは「情けは人の為ならず(no good deed goes unpunished、直訳:善行は必ず報われぬ)」ということわざに、変わった角度から光を当てています。この一件では、文字通り「悪行は必ず罰せられる」という側面がありました。MalwareTechでの若き日のいかがわしい活動は、FBIによる起訴につながりました。しかし同時に、それはマルウェアに精通した人物としての同氏の知名度も押し上げたのです。
同様に、「no good deed goes unpunished」の通常の意味の方も、等しく当てはまります。WannaCryの一件で得た知名度によって、FBIが匿名だったはずのMalwareTechブログと同氏の名前を結びつけ、そのブログの背後にいる人物を起訴するに至った可能性は十分にあります。
同氏は今もMalwareTechを発信し続けており、それは同氏のペンネームとなっていますが、その内容はサイバー犯罪性よりもサイバーセキュリティを扱うものへと刷新されています。昨年、同氏は知人から、自社で働かないかという電話を受けました。ハッチンス氏は、自身の評判の高さゆえに、実質的にヘッドハンティングされたのです。同氏は現在32歳、Expel社でPrincipal Threat Researcherを務め、サイバー脅威インテリジェンスとマルウェアに関するブログ執筆を組み合わせた業務に携わっています。つまり基本的にはかつてと変わらない仕事内容ですが、今では完全に正当な立場でそれを行っているのです。
翻訳元: https://www.securityweek.com/hacker-conversations-marcus-hutchins/
