阻止WannaCry的英雄被FBI带走，未来路在何方？(3)

七月，他接受了一个网络安全网站的采访，被问到“黑帽黑客从良”能否赚到同样多的钱时，他举例“史上最大网络攻击之一”WannaCry 来说，背后的攻击者最后只得到了 135503 美元——大致等于他这样的恶意软件研究者在不冒“被逮捕”风险下能够得到的薪水。但是哈钦斯对“从良”表达了怀疑。几个月前一个关于黑帽子能否洗白的讨论中，哈钦斯在推特表示：“坏人很少会因为为从良就变成好人，记住这一点。”

第三章

目前哈钦斯面临六项指控，包括开发银行木马 Kronos 恶意软件——能够自动在电脑上安装并窃取密码已经其他登录金融网站的相关信息。这个恶意软件首次出现是在 2014 年，正值于哈钦斯从学校毕业至找到工作期间，它依赖僵尸网络 Kelihos 进行传播，哈钦斯更是因为对这个僵尸网络的研究而得到工作。除了制造恶意软件，哈钦斯还被诉以密谋以 2000 美元的价格在暗网 AlphaBay 向网络罪犯兜售 Kronos。AlphaBay 已经被 FBI 查封。

为了入罪，政府不仅要证明哈钦斯制造了 Kronos，还要证明他图谋不轨。据检方描述，哈钦斯在拉斯维加斯机场被捕后的审讯中承认是他制造了 Kronos。（哈钦斯的律师说，审讯是在哈钦斯极度缺乏睡眠和宿醉的情况下进行的。）FBI 还展示了哈钦斯长达 150 页的网上聊天记录，其中他与另一个身份不明的被告就出售 Kronos 以及如何分赃进行的对话。在经过与监狱的漫长通话之后，检方称哈钦斯对此“不予否认”。

致力黑客与政府建立更好关系的著名黑客 Katie Moussouris 表示：“政府通常不会随便起诉，除非他们知道能赢”

网络安全界震惊了。像哈钦斯一样成为英雄然后又被指控为网络罪犯的情况即便在黑客看来都十分罕见。一些人怀疑他，在没有任何证据的情况下“推断”哈钦斯就是 WannaCry 背后的主谋，而且是他在病毒传播不受控制之后就“发现”了病毒开关。（美国及一些政府指责朝鲜发动了这场袭击。）

与哈钦斯一同工作的研究人员则吓坏了，他在网络安全论坛写下：“这实在太糟糕了。我们开始回想他是我们一员的那段时间，所有的流量都可能被控制，还包括我们的名字等都落入各种敌人手里。”

哈钦斯被捕一月后，情况变得更加糟糕了。报道网络安全领域的记者 Brian Krebs 发布了一篇详尽的文章分析哈钦斯用过的网名——“Touch My Malware,” “Da Loser,” “Flipertyjopkins”，出卖了他在少年时曾从事过低级的网络犯罪。

Da Loser 曾炫耀自己创造了一个能够窃取密码的程序；Flipertyjopkins 曾在 YouTube 上发布了一个演示如何使用某一恶意软件的视频。Krebs 强调了这些所谓罪行并“不值得一提”（fairly small-time），而且他没有发现哈钦斯与 Kronos 有关系的证据，但是文章在信息安全论坛流传：哈钦斯的过去，并不单纯。

当然，还有很多信息安全人员为他辩护。安全研究者 Robert Gramham 说：“许多人都有犯罪经历——或者犯罪表现——但是我们也遇到过许多无辜人由于一些原因被逮捕。”哈钦斯曾经多次与执法部门合作，包括 WannaCry 事件他曾公开致谢 FBI 曾提供的帮助。2014 年哈钦斯曾经发过的一条推特：“有人抓到 Kronos 样本了么？”似乎证明他和其他安全社区的人差不多同时知道 Kronos（或者这是他的巧妙伪装）。

安全社区还有一些人对于《计算机欺诈和滥用法》（CFAA）表示怀疑，这是项已经三十二岁的高龄法案。它是包括哈钦斯的案件在内许多网络犯罪起诉的幕后依据。执法部门和安全社区都认为这项法律已经过时了——它对计算机的定义还是“打字机和手持计算器”——当然它还引发了几桩存在疑点的起诉，其中就包括如何处理那些意图不明确的年轻黑客。

2010 年，前摩根士丹利程序员 Stephen Watt 以编写一个名为“变富或去死行动”窃取信用卡的恶意程序而被定罪。但是他并没有真的部署这个恶意软件，他甚至没有收到钱，而且自称不知道用它来做什么。法官 Nancy Gertner 在听说了这个案件后告诉我，她在量刑时举棋不定——检察官在狱中争论了五年，被告想要缓刑——最后判了两年监禁。Gernter 说：“人们丢了钱，那么他应当受到惩罚，但同时他又是个孩子。”

Brian Krebs 揭露的哈钦斯那些“年少任性”的确带来了麻烦，而许多安全研究者从中看到了自己。“像马库斯这样的人是如何变得有才能的？”他的老板 Neino 说：“最棒的安全研究者需要将自己暴露在威胁面前。许多研究者与地下论坛的人交往甚至和犯罪分子成为朋友。”

网络安全的历史上同样有许多改邪归正的情况。上世纪 90 年代因为各种网络犯罪而入狱五年的凯文·米特尼克（见上图），现在经营着一家为 FBI 提供顾问服务的安全公司。现在 31 岁的 Amit Serper 去年帮忙抵御了一场来自俄罗斯的网络攻击，他告诉我，他和许多这个领域的人在十几岁的时候都做过一些“可能被认为是非法的”事情。几乎每一个与我交谈过的安全从业者都会引用一项研究，表明人类大脑直到 25 岁左右才完全形成。

许多天才型安全专家在青年时就通过边界测试来磨练自己的技能。Moussouris 告诉我：“我称之为‘愤怒年代’，大概是人生中第一次感受到自己很重要同时有强大的力量。那是你第一次感受到、我们所有人都渴望得到的肯定——你很重要。”

（编辑：ASP站长网）