Marcus Hutchins (Bracknell, 1994), també conegut en línia com a MalwareTech, és un investigador de seguretat informàtica britànic conegut per haver aturat l'⁣atac de ransomware WannaCry. Treballa per a l'empresa de ciberseguretat Kryptos Logic. Hutchins és originari d'Ilfracombe, a Devon.

Primers anys de vida Hutchins és el fill gran de Janet Hutchins, una infermera escocesa, i Desmond Hutchins, un treballador social jamaicà. Al voltant del 2003, quan Hutchins tenia nou anys, els pares van traslladar la família de la zona urbana de Bracknell, prop de Londres, a la zona rural de Devon. Hutchins havia demostrat aptituds primerenques amb els ordinadors i va aprendre habilitats senzilles de pirateria informàtica des de ben petit, com ara eludir la seguretat dels ordinadors de l'escola per instal·lar programari de videojocs. A més, va passar temps aprenent a ser socorrista de surf.

Es va involucrar en un fòrum en línia que promovia el desenvolupament de programari maliciós, més com a mitjà per mostrar les seves habilitats els uns als altres que no pas amb finalitats nefastes. Quan tenia uns 14 anys, va crear la seva pròpia contribució, un lladre de contrasenyes basat en la funció AutoFill d'⁣Internet Explorer, que va ser rebut amb l'aprovació del fòrum. Va passar gran part del seu temps amb aquesta comunitat fins al punt que el seu treball escolar va començar a fallar. Quan els sistemes de l'escola es van veure compromesos, les autoritats escolars van afirmar que Hutchins era el culpable. Tot i que va negar qualsevol implicació, les autoritats escolars el van suspendre permanentment de l'ús dels ordinadors de l'escola, cosa que va empènyer encara més Hutchins a faltar a l'escola més sovint i passar més temps als fòrums de programari maliciós.

Carrera professional Kit UPAS i Kronos Per aquella època, els fòrums originals de programari maliciós havien estat tancats i Hutchins es va traslladar a una altra comunitat de hackers, HackForums. En aquest nou fòrum, s'esperava que els membres mostressin més habilitat demostrant la possessió d'una botnet. Hutchins, que en aquell moment tenia 15 anys, va crear amb èxit una botnet de 8.000 ordinadors per a HackForums enganyant els usuaris de BitTorrent perquè executessin els seus fitxers maliciosos per prendre el control de les seves màquines. A partir d'aquest exploit, Hutchins va veure oportunitats financeres per a les seves habilitats de pirateria informàtica, tot i que en aquell moment no sentia que aquestes estiguessin relacionades amb cap mena de ciberdelicte, tal com va declarar en una entrevista del 2020. Aquestes activitats incloïen la configuració d'allotjament web "fantasma" per a altres persones de HackForums per a "tota mena de llocs il·legals" excepte pornografia infantil, i la creació de programari maliciós personalitzat, sovint basat en l'avaluació de com funcionaven els rootkits d'altres.

Segons Hutchins en entrevistes posteriors i en el seu acord de culpabilitat, quan tenia uns 16 anys, després d'haver-se guanyat una reputació en els cercles de hackers pel seu programari maliciós personalitzat, va ser contactat per una entitat en línia que només coneixia com a "Vinny", que li va demanar que escrivís un rootkit ben cuidat i multifacètic que es pogués vendre en múltiples mercats de hackers, i Hutchins rebria la meitat dels beneficis de cada venda. Ell va acceptar i, a mitjans de 2012, havia completat l'escriptura d'UPAS Kit, que portava el nom de l'arbre verinós anomenat upas. Durant aquest període, Hutchins es va queixar una vegada en les seves converses amb Vinny de la manca de bona marihuana al país. Vinny li va demanar la seva adreça, que Hutchins va donar, i més tard, el dia del seu 17è aniversari, va rebre un paquet ple de diverses drogues recreatives. Les vendes d'UPAS Kit van fer guanyar a Hutchins milers de dòlars a través de bitcoin, cosa que li va permetre deixar l'escola i viure una vida còmoda, tot i que va mantenir en secret la naturalesa de la seva feina de la seva família.

Vinny va tornar a contactar amb Hutchins poc després per demanar-li que escrivís una nova versió del rootki, anomenat Kit UPAS 2.0, afegint específicament el registre de pulsacions (keylogging) i la injecció web per a les pàgines de formularis del navegador. En aquest punt, Hutchins va reconèixer que aquestes funcions probablement eren per a les transaccions financeres als llocs web dels bancs i, per tant, estaria permetent la ciberdelinqüència si escrivia l'actualització. Hutchins va dir a Vinny que es negava a escriure aquest codi, però Vinny el va retenir sobre el fet que coneixia la seva data de naixement i l'adreça del seu regal anterior de drogues recreatives i que estava disposat a donar-les a l'⁣FBI si Hutchins no cooperava. Hutchins va arribar a un acord per afegir el registre de pulsacions al Kit UPAS 2.0, però va ometre tot el relacionat amb la injecció web, cosa que va trigar nou mesos més a completar-se.

Després d'això, Vinny va dir que havia contractat un altre programador per actualitzar UPAS Kit amb les injeccions web, i que ara volia que Hutchins i aquest programador treballessin junts per combinar el codi en un sol paquet. Tot i que estava èticament indecís sobre la decisió, Hutchins va optar per continuar treballant amb Vinny per assegurar-se almenys que li paguessin per la feina que ja feia, tot i que va procrastinar tant com va poder. El nou codi es va completar el juny de 2014, i quan Vinny va començar a vendre'l a la dark web va canviar el nom d'UPAS Kit 2.0 a Kronos, basat en el tità mitològic grec.

MalwareTech i Kryptos Logic Hutchins havia entrat a la universitat comunitària i estava ocupat en acabar el seu últim any dels estudis i treballar les solucions a Kronos que li exigia Vinny, complicades encara més amb una addicció a les drogues que havia adquirit mentre treballava en el codi de Kronos. Durant aquest temps, va conèixer una persona que coneixia com a "Randy" en línia a través de fòrums de pirateria informàtica. Randy, que vivia a Los Angeles, havia buscat un rootkit bancari com Kronos, que Hutchins no va esmentar, però va portar-los a mantenir converses més llargues per saber que Randy tenia objectius més filantròpics. Per ajudar Randy, Hutchins es va oferir a donar-li suport amb el comerç de bitcoins. Tanmateix, una fallada de corrent una nit va fer que Hutchins perdés més de 5.000 dòlars nord-americans en bitcoins de Randy i, a canvi, Hutchins va revelar la seva connexió amb el desenvolupament de Kronos i va oferir una còpia gratuïta a Randy. Després que haguessin completat aquest acord, Hutchins es va adonar de l'error que havia comès en revelar-ho a un desconegut i va començar a témer que les forces de l'ordre se li acostessin.

Hutchins es va graduar a la universitat comunitària el 2015 i va deixar la seva addicció a les drogues de cop. Va ajornar les sol·licituds de Vinny per actualitzacions de Kronos al·legant que estava ocupat amb els deures, fins que aviat les sol·licituds van cessar, així com qualsevol altre pagament de Vinny. Després de diversos mesos de por, va decidir començar un blog escrit anònimament sobre anàlisi profunda de pirates informàtics que va anomenar MalwareTech, basat en el que havia après avaluant els rootkits d'altres i el seu propi treball sobre UPAS Kit i Kronos, tot i que no va parlar res de la seva connexió amb aquests rootkits. A mesura que apareixien nous rootkits, Hutchins va començar a aplicar enginyeria inversa i a escriure els detalls sobre aquests rootkits a MalwareTech, com ara la botnet Kelihos i Necurs, i va escriure el seu propi servei de seguiment de botnets que podia unir-se a la botnet i controlar quines operacions feien els controladors de les botnets. Els seus escrits van despertar l'interès del CEO de Kryptos Logic, Salim Neino, que li va oferir una feina com a redactor.

Hutchins va acceptar; mentre encara treballava des d'Ilfracombe, aplicaria enginyeria inversa a noves botnets i proporcionaria la informació detallada a Kryptos Logic mentre escrivia sobre la funcionalitat d'alt nivell que havia descobert a MalwareTech, mentre que Kryptos Logic supervisaria les botnets per detectar amenaces de ciberseguretat contínues. A través d'aquesta relació, la reputació de Hutchins a través de la seva identitat MalwareTech va créixer, sent anomenat reversing savant o "savi de l'enginyeria inversa" per un exhacker de la NSA, tot i que només uns quants associats de Kryptos coneixien la seva veritable identitat. Hutchins i Kryptos Logic van ser fonamentals per aturar una branca de l'atac de botnet i denegació de servei distribuït (DDoS) anomenat Mirai el 2016 que havia afectat Lloyds Bank, ja que Hutchins va poder contactar amb el hacker que hi havia darrere, i un cop l'havia localitzat, amb les seves pròpies experiències convèncer-lo que aturés la botnet.

WannaCry L'atac del ransomware WannaCry va començar al voltant del 12 de maig de 2017. Utilitzant un exploit al Server Message Block de Microsoft Windows, es va estendre ràpidament des del seu punt d'injecció inicial, que es creu que era a Corea del Nord, a més de 230.000 ordinadors en 150 països en el mateix dia. Els ordinadors infectats semblaven quedar bloquejats i només es podien desbloquejar si l'usuari enviava una quantitat de Bitcoin a un compte determinat.

Hutchins es va adonar de l'activitat de WannaCry la tarda del 12 de maig, i tot i que havia estat de vacances, va començar a aplicar enginyeria inversa al codi des de la seva habitació. Va descobrir que el programari maliciós estava vinculat a un nom de domini d'aspecte estrany, cosa que suggeria que el programari maliciós formaria part d'una estructura de comandament i control comuna a les botnets, però sorprenentment, el nom de domini no estava registrat. Ràpidament, va registrar el domini i va configurar servidors a Kryptos Logic per actuar com a honeypots, cosa que els permetia rastrejar els ordinadors infectats. Mentre el cuc WannaCry continuava propagant-se durant les següents hores, els investigadors de seguretat van descobrir que, com que Hutchins havia registrat el nom de domini quan ho va fer, WannaCry no s'executaria més, convertint-se efectivament en l'interruptor que aturaria el cuc informàtic. Hutchins i Kryptos, juntament amb el Centre Nacional de Ciberseguretat del Regne Unit, van passar els següents dies mantenint els servidors honeypot que eren atacats amb peticions de denegació de servei, alguns reiniciats per les botnets Mirai en curs per assegurar-se que l'interruptor de l'atac romangués actiu mentre Microsoft i altres treballadors de seguretat s'afanyaven a corregir l'exploit al Server Message Block i a emetre'l als usuaris finals. Llavors també esforç separat d'investigadors de ciberseguretat francesos va trobar un mètode per desbloquejar i desxifrar els ordinadors afectats sense haver de pagar el rescat.

La feina de Hutchins, com a MalwareTech, per aturar WannaCry va ser molt elogiada, però això va portar la premsa a descobrir la identitat de Hutchins darrere de MalwareTech en els dies següents. Hutchins va intentar evitar la premsa, inclosos els tabloides més invasius que havien publicat el seu nom i adreça vinculats al nom de MalwareTech, tot i que va acceptar una única entrevista amb Associated Press amb el seu nom real, intentant desactivar la percepció d'"heroi" que se li havia donat. En aquesta cobertura, va mantenir en silenci la seva història passada, simplement afirmant que va aconseguir la seva feina a Kryptos Logic basant-se en les seves habilitats de programari i les aficions al blog de MalwareTech que va desenvolupar durant l'escola. Va obtenir una mena d'estatus de celebritat dins del món de la ciberseguretat per les seves accions contra WannaCry, i es van fer plans perquè assistís a la conferència de ciberseguretat DEF CON de 2017 a Las Vegas aquell agost.

Detenció