Колишній бос L3Harris Trenchant вкрав і продав кіберексплойти Росії

Пітер Вільямс, колишній генеральний менеджер Trenchant, підрозділу оборонного підрядника L3Harris, який розробляє інструменти стеження та злому для західних урядів визнав себе винним у крадіжці деяких із цих інструментів та їх продажу російському брокеру.

У судовому документі, поданому у справі, а також в ексклюзивному репортажі TechCrunch та інтерв'ю з колишніми колегами Вільямса пояснюється, як Вільямсу вдалося викрасти дуже цінні та конфіденційні експлойти у Trenchant. 

Вільямс, 39-річний громадянин Австралії, відомий у компанії як «Дугі», зізнався прокурорам, що викрав і продав вісім експлойтів, або «нульових днів », які є недоліками безпеки в програмному забезпеченні, невідомими його розробнику та надзвичайно цінними для злому пристроїв цілі. Вільямс сказав, що деякі з цих експлойтів, які він викрав у власної компанії Trenchant, коштували 35 мільйонів доларів, але від російського брокера він отримав лише 1,3 мільйона доларів у криптовалюті. Вільямс продав вісім експлойтів протягом кількох років, між 2022 і липнем 2025 року. 

Згідно з судовим документом, завдяки своїй посаді та роботі в Trenchant, Вільямс «зберіг доступ «суперкористувача»» до «внутрішньої, контрольованої, багатофакторної автентифікованої» захищеної мережі компанії, де зберігалися її хакерські інструменти, і до якої мали доступ лише співробітники, яким «необхідно знати».  

Як «суперкористувач», Вільямс міг переглядати всю активність, журнали та дані, пов’язані із захищеною мережею Trenchant, включаючи її експлойти, зазначається в судовому документі. Доступ Вільямса до мережі компанії надавав йому «повний доступ» до конфіденційної інформації та комерційних таємниць Trenchant. 

Зловживаючи цим широким доступом, Вільямс використовував портативний зовнішній жорсткий диск для перенесення експлойтів із захищених мереж офісів Trenchant у Сіднеї (Австралія) та Вашингтоні (округ Колумбія) на особистий пристрій. Після цього Вільямс відправив викрадені інструменти через зашифровані канали російському брокеру, згідно з судовим документом.  

Колишній співробітник Trenchant, знайомий з внутрішніми ІТ-системами компанії, розповів TechCrunch, що Вільямс «користувався дуже високим ешелоном довіри» в компанії як частина вищої керівної команди. Вільямс пропрацював у компанії роками, зокрема до придбання L3Harris компаній Azimuth та Linchpin Labs , двох дочірніх стартапів, які об'єдналися в Trenchant .  

«На мою думку, його вважали бездоганним», – сказав колишній співробітник, який попросив залишитися анонімним, оскільки йому не було дозволено розповідати про свою роботу в Trenchant.  

«Ніхто взагалі не наглядав за ним. Йому дозволяли робити все так, як він хотів», – сказали вони. 

«Серйозні пошкодження» 

У жовтні 2024 року Trenchant «отримала сповіщення» про витік інформації з одного з її продуктів, який знаходиться у володінні «неавторизованого брокера програмного забезпечення», згідно з судовим документом. Вільямса було призначено відповідальним за розслідування витоку, яке виключило злом мережі компанії, але виявило, що колишній співробітник «неправомірно отримав доступ до Інтернету з ізольованого пристрою», згідно з судовим документом.  

Як раніше ексклюзивно повідомляв TechCrunch , Вільямс звільнив розробника Trenchant у лютому 2025 року, звинувативши його у подвійній роботі. Пізніше звільнений працівник дізнався від деяких своїх колишніх колег, що Вільямс звинуватив його у крадіжці нульових днів Chrome, до яких він не мав доступу, оскільки працював над розробкою експлойтів для iPhone та iPad. До березня Apple повідомила колишнього працівника, що його iPhone став мішенню «атаки шпигунського програмного забезпечення-найманця».  

В інтерв'ю TechCrunch колишній розробник Trenchant заявив, що, на його думку, Вільямс підставив його, щоб приховати власні дії. Незрозуміло, чи є колишній розробник тим самим співробітником, про якого йдеться в судовому документі.  

У липні ФБР допитало Вільямса, який сказав агентам, що «найімовірніший спосіб» викрасти продукти із захищеної мережі — це завантажити продукти на «ізольований пристрій… такий як мобільний телефон або зовнішній диск». (Ізольований пристрій — це комп’ютер або сервер, який не має доступу до Інтернету.)  

Як виявилося, саме в цьому Вільямс зізнався ФБР у серпні після того, як йому пред'явили докази його злочинів. Вільямс розповів ФБР, що він упізнав свій код, який використовував південнокорейський брокер, після того, як продав його російському брокеру; хоча залишається незрозумілим, як код Тренчанта взагалі потрапив до південнокорейського брокера. 

Вільямс використовував псевдонім «Джон Тейлор» – іноземного постачальника електронної пошти – та невказані зашифровані програми під час взаємодії з російським брокером, ймовірно, Operation Zero. Це російський брокер, який пропонує до 20 мільйонів доларів за інструменти для злому телефонів Android та iPhone, які, за його словами, продає «лише російським приватним та урядовим організаціям».  

Видання Wired першим повідомило , що Вільямс, ймовірно, продав викрадені інструменти компанії Operation Zero, враховуючи, що в судовому документі згадується публікація в соціальних мережах від вересня 2023 року, в якій оголошувалося про збільшення «виплат винагороди» неназваного брокера з 200 000 до 20 000 000 доларів США, що збігається з публікацією Operation Zero на X на той час.  

Operation Zero не відповіла на запит TechCrunch про коментар.  

Вільямс продав перший експлойт за 240 000 доларів, пообіцявши додаткові платежі після підтвердження працездатності інструменту, а також подальшу технічну підтримку для оновлення інструменту. Після цього початкового продажу Вільямс продав ще сім експлойтів, погодившись на загальну виплату в 4 мільйони доларів, хоча, згідно з судовим документом, зрештою отримав лише 1,3 мільйона доларів.  

Справа Вільямса сколихнула спільноту кібербезпеки, де чутки про його арешт були темою обговорень протягом тижнів, за словами багатьох людей, які працюють у цій галузі.  

Деякі з цих інсайдерів галузі вважають дії Вільямса такими, що завдали серйозної шкоди. 

«Це зрада західного апарату національної безпеки, і це зрада найгіршого типу загрози, яка у нас є зараз, а саме Росії», – сказав TechCrunch колишній співробітник Trenchant, який знає ІТ-системи компанії.  

«Тому, що ці секрети були передані противнику, який безумовно підірве наші можливості та потенційно навіть використає їх проти інших цілей».