Marcus Hutchins

Por esa época, los foros originales sobre malware habían cerrado y Hutchins se trasladó a otra comunidad de hackers, HackForums. En este nuevo foro, se esperaba que los miembros demostraran mayor habilidad al poseer una botnet . Hutchins, de 15 años en ese momento, creó con éxito una botnet de 8000 ordenadores para HackForums engañando a usuarios de BitTorrent para que ejecutaran sus archivos falsos y así tomar el control de sus máquinas. ^{[ 7 ]} A partir de este exploit, Hutchins vio oportunidades financieras para sus habilidades de hacking, aunque en ese momento no sentía que estuvieran vinculadas a ningún tipo de ciberdelito , como declaró en una entrevista de 2020. ^{[ 7 ]} Estas actividades incluían configurar alojamiento web "fantasma" para otros en HackForums para "todos los sitios ilegales" excepto pornografía infantil, y crear malware personalizado, a menudo basado en la evaluación del funcionamiento de los rootkits de otros . ^{[ 7 ]}

Según Hutchins en entrevistas posteriores y en su acuerdo de culpabilidad, cuando tenía alrededor de 16 años, habiendo ganado reputación en los círculos de hackers por su malware personalizado, fue contactado por una entidad en línea a la que solo conocía como "Vinny", quien le pidió que escribiera un rootkit multifacético y bien mantenido que pudiera venderse en múltiples mercados de hackers, y Hutchins recibiría la mitad de las ganancias de cada venta. Hutchins aceptó, y a mediados de 2012, había terminado de escribir UPAS Kit, llamado así por el árbol venenoso upas . ^{[ 7 ]} Durante este período, Hutchins se quejó una vez en sus conversaciones con Vinny sobre la falta de buena marihuana en el país. Vinny le pidió su dirección, que Hutchins le dio, y más tarde, en su cumpleaños número 17, recibió un paquete lleno de varias drogas recreativas. ^{[ 7 ]} Las ventas de UPAS Kit le generaron a Hutchins miles de dólares a través de bitcoin , lo que le permitió abandonar la escuela y vivir una vida cómoda, aunque mantuvo en secreto la naturaleza de su trabajo ante su familia. ^{[ 7 ]}

Vinny volvió poco después a Hutchins para pedirle que escribiera UPAS Kit 2.0, específicamente añadiendo el registro de pulsaciones de teclas y la inyección web para páginas de formularios de navegador. En ese momento, Hutchins reconoció que estas características probablemente se usarían para atacar transacciones financieras en sitios web de bancos, y por lo tanto estaría facilitando el cibercrimen si escribía la actualización. ^{[ 7 ]} Hutchins le dijo a Vinny que se negaba a escribir ese código, pero Vinny lo presionó porque conocía su fecha de nacimiento y dirección gracias a un regalo anterior de drogas recreativas y estaba dispuesto a dárselas al FBI si Hutchins no cooperaba. ^{[ 7 ]} Hutchins llegó a un acuerdo para agregar el registro de pulsaciones de teclas a UPAS Kit 2.0, pero omitió todo lo relacionado con la inyección web, que tardó otros nueve meses en completarse.

Después de esto, Vinny le dijo que había contratado a otro programador para actualizar UPAS Kit con las inyecciones web, y que ahora quería que Hutchins y este programador trabajaran juntos para combinar el código en un solo paquete. Aunque tenía un dilema ético con la decisión, Hutchins optó por seguir trabajando con Vinny para al menos asegurarse de que le pagaran por el trabajo que ya había hecho, aunque lo pospuso todo lo que pudo. ^{[ 7 ]} El nuevo código se completó en junio de 2014, y cuando Vinny comenzó a venderlo en la dark web, renombró UPAS Kit 2.0 a Kronos , basado en el titán mitológico griego . ^{[ 7 ]}

Hutchins había ingresado a un colegio comunitario ^{[ a ]} y se debatía entre completar su último año de estudios y las correcciones a Kronos que Vinny le exigía, situación que se complicaba aún más por la adicción a las drogas que desarrolló mientras trabajaba en Kronos. ^{[ 7 ]} Durante este tiempo, conoció en línea a una persona a la que conocía como "Randy" a través de foros de hackers. Randy, que residía en Los Ángeles, buscaba un rootkit bancario similar a Kronos, algo que Hutchins no mencionó, pero que dio pie a conversaciones más largas en las que descubrió que Randy tenía objetivos más filantrópicos. Para ayudar a Randy, Hutchins se ofreció a ayudarlo con el comercio de bitcoins. Sin embargo, un corte de luz una noche provocó que Hutchins perdiera más de 5000 dólares estadounidenses en bitcoins de Randy, y a cambio, Hutchins reveló su conexión con Kronos y le ofreció una copia gratuita a Randy. Tras completar el trato, Hutchins se dio cuenta del error que había cometido al revelar esto a un desconocido y empezó a temer que la policía lo contactara. ^{[ 7 ]}

Hutchins se graduó de la universidad comunitaria en 2015 y dejó su adicción a las drogas de golpe . Rechazó las solicitudes de Vinny para actualizar Kronos alegando que estaba ocupado con sus estudios, hasta que pronto las solicitudes cesaron, al igual que cualquier pago adicional de Vinny. ^{[ 7 ]} Después de varios meses de angustia, decidió comenzar un blog anónimo sobre análisis profundo de hackeos que llamó MalwareTech, basado en lo que había aprendido evaluando rootkits de otros y su propio trabajo en UPAS Kit y Kronos, aunque no mencionó su conexión con estos rootkits. ^{[ 7 ]} A medida que aparecían nuevos rootkits, Hutchins comenzó a realizar ingeniería inversa de ellos y a escribir los detalles en MalwareTech, como la botnet Kelihos y Necurs , y escribió su propio servicio de seguimiento de botnets que podía unirse a la botnet y monitorear las operaciones que realizaban los controladores de las botnets. ^{[ 7 ]} Sus escritos atrajeron el interés del CEO de Kryptos Logic, Salim Neino, quien le ofreció un trabajo.

Hutchins aceptó; mientras seguía trabajando desde Ilfracombe, realizaría ingeniería inversa de nuevas botnets y proporcionaría la información detallada a Kryptos Logic, al tiempo que escribía sobre la funcionalidad de alto nivel que había descubierto para MalwareTech, mientras que Kryptos Logic monitorizaría las botnets en busca de amenazas de ciberseguridad en curso. ^{[ 7 ]} A través de esta relación, la reputación de Hutchins, bajo su identidad de MalwareTech, creció, siendo llamado un "genio de la ingeniería inversa" por un antiguo hacker de la NSA , aunque solo unos pocos asociados en Kryptos conocían su verdadera identidad. ^{[ 7 ]} Hutchins y Kryptos Logic fueron fundamentales para detener una ramificación de la botnet Mirai /ataque de denegación de servicio distribuido (DDoS) en 2016 que había afectado a Lloyds Bank , ^{[ 9 ] [ 10 ]} ya que Hutchins había podido suplicar al hacker responsable, una vez que lo localizó, con sus propias experiencias para convencerlo de que detuviera la botnet. ^{[ 7 ]}

El ataque de ransomware WannaCry comenzó alrededor del 12 de mayo de 2017; utilizando una vulnerabilidad en el Bloque de Mensajes del Servidor de Microsoft Windows , se propagó rápidamente desde su punto de inyección inicial, que se cree que estaba en Corea del Norte, a más de 230.000 ordenadores en 150 países en el transcurso del día. Los ordenadores infectados aparentemente quedaron bloqueados y solo podían desbloquearse si el usuario enviaba una cantidad de Bitcoin a una cuenta determinada. ^{[ 11 ] [ 12 ]}

Hutchins se enteró de WannaCry la tarde del 12 de mayo y, aunque estaba de vacaciones, comenzó a aplicar ingeniería inversa al código desde su habitación. Descubrió que el malware estaba vinculado a un nombre de dominio de aspecto extraño , lo que sugería que formaría parte de una estructura de comando y control común en las botnets, pero para su sorpresa, el nombre de dominio no estaba registrado. Rápidamente lo registró y configuró servidores en Kryptos Logic dentro de él para que actuaran como honeypots , lo que les permitió rastrear las computadoras infectadas. Si bien el gusano WannaCry continuó propagándose durante las siguientes horas, los investigadores de seguridad descubrieron que, debido a que Hutchins había registrado el nombre de dominio en ese momento, WannaCry no se ejecutaba más; el dominio era, en efecto, el interruptor de apagado del gusano . ^{[ 7 ] [ 13 ]} Hutchins y Kryptos, junto con el Centro Nacional de Ciberseguridad del Reino Unido , pasaron los siguientes días manteniendo los servidores honeypot frente a ataques DDoS adicionales, algunos reiniciados por botnets Mirai en curso para asegurar que el interruptor de apagado permaneciera activo mientras Microsoft y otros trabajadores de seguridad se apresuraban a parchear la vulnerabilidad en el Server Message Block y distribuirla a los usuarios finales. ^{[ 7 ] [ 14 ] [ 15 ]} Un esfuerzo separado de investigadores franceses de ciberseguridad encontró un método para desbloquear y descifrar las computadoras afectadas sin tener que pagar el rescate. ^{[ 16 ]}

El trabajo de Hutchins, como MalwareTech, para detener WannaCry, fue muy elogiado, pero esto llevó a que la prensa lo identificara como la persona detrás de MalwareTech en los días siguientes. ^{[ 17 ] [ 18 ]} Hutchins intentó evitar a la prensa, incluidos los tabloides más invasivos que habían publicado su nombre y dirección vinculados al nombre de MalwareTech, ^{[ 19 ]} aunque accedió a una única entrevista con Associated Press bajo su nombre real, tratando de disipar la percepción de "héroe" que se le había dado. ^{[ 20 ]} En esta cobertura, mantuvo su pasado en secreto, simplemente declarando que obtuvo su trabajo en Kryptos Logic gracias a sus habilidades de software y a sus aficiones al blog de MalwareTech que desarrolló durante sus estudios. ^{[ 19 ]} Ganó una especie de estatus de celebridad dentro del mundo de la ciberseguridad por sus acciones contra WannaCry, y se hizo un plan para que asistiera a la conferencia de ciberseguridad DEF CON 2017 en Las Vegas ese agosto. ^{[ 7 ]}