«Менты собирают данные с большинства форумов»: как изменился российский даркнет после расследования об отравлении Навального — Daily Storm

Реальные задержания, взлет цен и по-прежнему доступные полицейские пробивы — в материале Daily Storm

Локаут «биржи убийц» и оружейной лавки

Середина мая, 2021 год. Безмятежность теплого весеннего вечера нарушило оповещение в секретном чате Telegram. 

«Либерти повязали, слышали? Вы брали у него интервью», — такое сообщение корреспондент Daily Storm получил от бизнесмена с одного из теневых форумов. Дилер попросил не указывать его никнейм. 

Годом ранее Daily Storm поговорил с крупными поставщиками нелегальных услуг: торговцем оружием, скрывающимся под псевдонимом Liberty-guns (Либерти) и специалистом по силовым акциям и пробиву с ником Kopbito (Корыто).

Профиль Liberty-guns действительно прекратил свою деятельность на даркнет-форумах. В сентябре 2021 года, спустя несколько месяцев после задержания Либерти, в СМИ появилась информация об аресте теневого бизнесмена Корыто. 

«Биржа убийц. Таких в даркнете немало. Но выйти на создателей почти невозможно. Поимка Сергея Магданова, предполагаемого организатора интернет-платформы для киллеров, — уникальная спецоперация», — произносит диктор новостного сюжета телеканала РЕН ТВ, где демонстрируются кадры задержания преступника. 

В репортаже также показан профиль пользователя на одном из теневых форумов, который, по версии следствия, принадлежит 38-летнему жителю Ижевска Сергею Магданову. Отчетливо виден никнейм: Kopbito (Корыто).

В даркнете Магданов «организовал площадку, где размещались заказы на убийства, а также торговали оружием и боеприпасами», — такую версию выдвигает СКР. В интервью Daily Storm Корыто говорил, что специфика его работы («силовые акции») действительно подразумевает заказные убийства. Поймать его удалось в результате совместной спецоперации СКР, ФСБ и МВД, писал «Коммерсантъ». Правоохранители вышли на него, расследуя убийство супругов во Владимире. Оно было совершенно в 2020 году. Оказалось, что семейную пару заказали конкуренты по наркобизнесу. 

«Корыто именно разрабатывали, спланированная операция под него», — сообщил Daily Storm источник, информированный о деталях спецоперации, связанных с поиском его цифровых следов. 

18 мая Корыто в последний раз заходил на форум, где он вел дела. Спустя неделю его «биржа» официально приостановила прием заказов и трдоустройство новых сотрудников. На связь в мессенджере Корыто перестал выходить в начале июня, а уже в середине месяца форумчане забили тревогу, уточняет коллега Корыта по теневому бизнесу. Попытка залечь на дно, судя по всему, оказалась безуспешной. 

Старожил и дилер теневого-форума R*****, пожелавший не раскрывать свой никнейм, сообщил Daily Storm, что Либерти и Корыто — далеко не единственные, кто попал в руки правоохранителей именно в 2021 году.

«До этого года с русскоязычных [даркнет-]форумов намного меньше людей пропадало. Давление на наш рынок заметно усилилось, за даркнет плотно взялись», — подытожил источник.

Импульсом для активной работы силовиков по даркнету могло стать прошлогоднее расследование Bellingcat (СМИ, выполняющее функции иностранного агента), The Insider (СМИ, выполняющее функции иностранного агента) и CNN об отравлении оппозиционного политика Алексея Навального. В процессе работы над расследованием его авторы воспользовались услугами пробивщиков, работающих по России. Например, они заказывали у «пробивал» биллинги и информацию о перелетах предполагаемых сотрудников ФСБ.

Тогда же Daily Storm подробно писал о технических деталях этого расследования. Источники в разговоре с корреспондентом утверждали, что из-за общественного резонанса российский рынок даркнета изменится. А сотрудники правоохранительных органов напрямую утверждали, что пробивщиков начнут «искать и мочить».

Расследование с неочевидным воздействием

По злой иронии судьбы именно бизнесмен Корыто, комментируя громкое расследование, говорил Daily Storm, что особого влияния на теневой рынок оно не окажет.

«Давление на всех нас усилилось, — сетует крупный пробивщик Colombo. — Это проявляется в задержаниях коллег, в повышенном внимании СМИ и блогеров к нам, количестве сотрудников [правоохранительных органов] на форумах».

По словам Colombo, отследить точное количество задержанных поставщиков теневых услуг за 2021 год невозможно — «они потом не отписываются». А вот увеличение активности силовиков на форуме отследить реально:

«Менты парсят (собирают данные. — Примеч. Daily Storm) большинство форумов, — рассказывает теневой бизнесмен, пожелавший «не светить» свой никнейм. — Для анализа постов и другой полезной информации. Они регистрируют множество ботов, которые автоматически гуляют по ссылкам, просматривают профили. Да и для контрольных закупок менты готовят аккаунты. Когда они не так давно ловили одного оружейника, у них был прокачанный аккаунт на [форуме] R****».

Администраторы теневых ресурсов стараются зафиксировать подобные действия правоохранителей, утверждает старожил одного из даркнет-форумов. 

Daily Storm писал, что несколько лет назад фирма арестованного в Швейцарии Владислава Клюшина «М13» могла разрабатывать подобную систему «индексации даркнета» с помощью ботов. Подобный инструментарий есть сразу у нескольких российских IT-компаний, которые занимаются расследованием киберинцидентов, уточняет в разговоре с Daily Storm источник из ИБ-сферы.

Тот факт, что давление на рынок даркнета усилилось после выхода расследования об отравлении Навального в разговоре с Daily Storm подтверждает источник в правоохранительных органах:

«Установка такая точно есть. И понятно, после каких событий (выхода материала об отравлении. — Примеч. Daily Storm)».

Правда, по словам собеседника, чрезмерное давление силовиков может привести к неожиданному результату:

«10 процентов [теневых бизнесменов и их сотрудников] посадят, 40 процентов уйдет, испугавшись. На рынке будет временный дефицит. Тогда оставшиеся 50 процентов полностью перейдут на крипту [криптовалюту] и повысят цены. Таким образом рынок станет закриптованным, безопасным и хорошо рентабельным».

Источник считает, что в итоге на рынке останутся только дорогостоящие целевые пробивы. Они подразумевают расширенное досье с данными о цели поиска и анализ этих данных. А нишу недорогого пробива, где от заказчика не требуется перевод его активов в крипту, уже занял многомиллионный рынок Telegram-ботов, считает собеседник. Например, аудитория бота «Глаз бога» составляет более 23 миллионов человек. 

Тенденцию к полному переходу на криптовалюты и прекращение использования, например, QIWI-кошельков, в разговоре с Daily Storm подтверждает старожил и крупный дилер форума R****:

«QIWI используют в основном пробивщики и те, кто предоставляет «серые», не «черные» услуги. Эта система до сих пор в ходу, но спросом пользуется заметно меньшим, чем в прошлом году. А [финансовые] операции внутри крупных форумов уже все в крипте».

Цены на пробив в этом году уже достигли исторического максимума. В начале декабря основатель сервиса разведки утечек данных и мониторинга даркнета DLBI Ашот Оганесян выпустил исследование-обзор рынка пробива за 2021 год. Выяснилось, что с 2020 года максимально (в четыре раза) подорожала информация о счетах и транзакциях граждан. Цена пробива абонентов операторов сотовой связи выросла с прошлого года почти на 60%. 

«Резкий рост цен произошел в одном секторе — банковском, — уточняет в разговоре с Daily Storm Ашот Оганесян. — Банки начали принимать меры по борьбе с инсайдерами: внедрять DLP-системы, жестко реагировать на попытки доступа к данным, устраивать контрольные закупки в даркнете. И это подействовало, хотя и не до конца».

Цена пробива по государственным базам, доступ к которым имеют только силовики, как ни странно, не изменилась, говорится в исследовании. В целом цены на «госпробив» остаются на довольно низком уровне. Сотрудник правоохранительных органов в разговоре с Daily Storm попробовал объяснить этот казус:

«В правоохране нет нормальных систем логирования. Они старые, никто их не может уже доделать. А ведь именно в лог, журнал, и должна идти запись: какой сотрудник кого именно проверял. Системы проверки физлиц до сих пор основаны на DOS. А аккаунты от более крутых систем раздают по одному на целый отдел. То есть одной учеткой 30 человек могут пользоваться. Эти сотрудники, по идее, сами себя и записывают в журнал. Иногда забивают и не записывают. А чаще всего пишут как придется, по памяти, перед какой-то грядущей проверкой». 

О существовании такой проблемы говорит и Ашот Оганесян. В силовых структурах зачастую нет нормальных процедур для получения сотрудником личного доступа к информационным системам, добавил специалист. В результате целые отделы сидят под логином начальника или вообще давно уволенного коллеги. В таком случае логировать что-то бесполезно в принципе, считает эксперт.

«Силовики, зачастую, предпочитают заметать подобные проблемы под ковер, — уточняет Оганесян. — Тут смешивается множество факторов: и корпоративность в отношении критики, и слабое понимание информационных технологий генералами, и специфика госзакупок в IT-сфере: когда средства, выделенные на повышение безопасности, тратятся на сомнительные решения».

В полиции, в свою очередь, считают, что утечки персональных данных россиян «уходят далеко не из МВД», а из коммерческих организаций.

Вендетта ботам

Массовое удаление Telegram-ботов для пробива людей администрацией мессенджера тоже началось в 2021 году. До этого боты спокойно работали в мессенджере на протяжении нескольких лет.

«В течение всего 2020 года из самых разных ведомств руководителям силовых структур шли данные об угрозах и возможных последствиях как от самих ботов, так и от репрессивных методов борьбы с ними, — рассказывает Daily Storm осведомленный источник. — Но руководству было ***** [все равно]. Пока не вышел ролик Навального про дворец. Блокировки ботов точно связаны с его последними [на момент начала 2021 года] роликами». 

12 марта 2021 года Telegram по требованию Роскомнадзора удалил сразу несколько крупных ботов для пробива, включая «Глаз бога» и SmartSearchBot. Позднее был заблокирован старейший бот AVInfo. Именно его журналисты Bellingcat (СМИ, выполняющее функции иностранного агента) использовали еще в 2018 году для получения дополнительной информации о предполагаемом сотруднике ГРУ Анатолии Чепиге («Руслане Боширове»). В декабре Telegram удалил бот Himera. 

Однако создатели ботов придумали выход из ситуации: они создают боты-«зеркала», полностью дублирующие функции удаленного. В течение года администрация Telegram периодически удаляла и «зеркала», но быстро создавались новые копии, доступные по другой ссылке.

Прессингу подверглись и люди, стоявшие за разработкой ботов. 7 апреля у создателя «Глаза бога» Евгения Антипова прошли обыски, правоохранители выламывали дверь в квартиру программиста. После этих событий он стал публичной персоной, дал множество интервью. В одном из них он заявил, что «дает бесплатный доступ [к боту] всем силовикам».

Сотрудники правоохранительных органов регулярно пользуются Telegram-ботами: зачастую им легче заплатить за бот небольшие «отступные», чем прорываться через бюрократическую машину к официальным базам данных. 

Отступники по незнанке

«Карающая длань» государства настигла и «кротов» — коррумпированных полицейских и пробивщиков, которые помогли команде Алексея Навального и журналистам-расследователям получить информацию о предполагаемых сотрудниках ФСБ. Сами «кроты» вряд ли догадывались, кому именно продают информацию.

29 декабря 2020 года, спустя две недели после выхода расследования об отравлении политика, был найден первый подозреваемый. В Следственном управлении СКР по Самарской области возбудили уголовное дело по факту злоупотребления полномочиями сотрудником самарского ОМВД Кириллом Чупровым. По версии следствия, он предоставил информацию из системы «Розыск-Магистраль», которая касалась авиаперелетов предполагаемых сотрудников ФСБ. 

Кирилла Чупрова отправили под домашний арест. А спустя несколько месяцев руководителям самарского ОМВД вынесли предупреждение о неполном служебном соответствии, сообщала Baza.

В марте 2021 года в Санкт-Петербурге было возбуждено уголовное дело, предположительно, в отношении майора полиции Романа Гладышева. По версии следствия, в системе «Розыск-Магистраль» Гладышев якобы нашел и передал некоему «неустановленному лицу» информацию о рейсе, которым Алексей Навальный 20 августа летел из Томска в Москву. Во время этого рейса Навальному стало плохо, самолет пришлось посадить в аэропорту Омска. 

А месяц назад, в ноябре, сотрудники правоохранительных органов задержали в Москве трех «пробивщиков», сообщала Baza, а затем — ТАСС. По информации издания, они подделали полицейские удостоверения и постановления Хамовнического суда и с помощью этих документов получили биллинг предполагаемых сотрудников ФСБ, летавших с Навальным. Ими оказались трое «частных детективов»: Петр Катков, Александр Зеленцов, в прошлом — полицейский, и Игорь Зайцев, фитнес-тренер, который из-за пандемии решил сменить род деятельности. 

P.S.

8 декабря 2021 года Роскомнадзор заблокировал сайт проекта Tor, откуда можно скачать браузер. Tor browser — основной инструмент для «входа» в даркнет. Два года назад Россия вышла на первое место в мире по числу пользователей Tor: порядка 600 тысяч российских юзеров ежедневно.