Работа в Стамбуле

Метка: неразводные дропы

Как найти реального процессора крипты

Своего первого реального партёра по процессингу крипты, который показал мне как можно использовать сценарий bgp spoofing и реализовывать bgp hijacking для mitm на майнинг и мутить процессинг в крипте при помощи подмены маршрута в зоне bgp, я нашел случайно, когда еще трудился в Укртелекоме сменным инженером, немного подрабатывая настраивая сетевое оборудование налево, но потом этот человек отошел от дел в связи со слишком уж скользкой ситуацией в данной сфере, и я решил поискать партнера на форумах типа Darkmoney, разместив рекламу на трёх электронных досках объявлений. Честно говоря поначалу даже был готов сразу закинуть 10.000 долларов в Гарант, но потом призадумался, а стоит ли?

И ко мне начал обращаться народ обращается разных категорий…

1. Дебильная школота, которая что-то любит повтирать про свою серьезность и просит закинуть 10.000 USDT им на Coinbase или Huobi в качестве аванса.

2. Реальные мэны, которые льют сразу большую сумму в крипте и просят организовать им вывод в фиат по SWIFT без разговоров про гарантии и прочую шнягу, но после того, как им отдаёшь нал или отбиваешь MT103, они сразу пропадают, суть данных действий я так и не понял, зачем пропадать, если всё прошло итак гладко?

3. Мутные личности, берущие реквизиты криптокошелька и очень долго что-то пытающиеся залить в USDT, в итоге пропадают, хорошо если еще криптокошелёк после всех этих проделок с процессингом в крипте остаётся жив и не вносится в стоп листы криптовалютных бирж и обменников.

4. Серьезные судя по общению цисководы, очень долго насилуют мозг спрашивая про отзывы и сумму которую я смогу закинуть в Гарант, после того, как им предлагаю первыми закинуть Гаранту его комиссию, так как в случае их исчезновения я попадаю на комиссию, сразу сваливаются, стуча копытами или кричат что я кидала, так как отказываюсь от работы с их Гарантом.

5. Самые адекватные те, кто льет небольшую проверочную сумму и потом уже начинают лить в крипте серьезные деньги с жирных криптовалютных кошельков BitCoin или Etherium, но таких, к сожалению, попадается очень мало.

Итог моей работы в паблике: вложения примерно — 150.000 долларов США, которые с трудом окупились из за убитых фирм и банковских счетов, пластиковых карт, и учёток на криптобиржах и обменниках, которые продавцы лочат через 2 месяца после продажи, и прочих прелестей. Если люди обращаются по рекламе — тут уже не отличишь нормальных от ненормальных, для тех, кто обратился в первый раз, есть гостевой криптокошелёк, без привязки к биржам и другим сервисам, реквизиты которого даю всем подряд, на который можно лить крипту из любой помойки, а проверенным людям — уже потом предоставляю новые реки чистого криптокошелька, гостевой корпоративный счёт желательно постоянно проверять на работоспособность перед зачислением о отправкой на него денег с обменника или криптобиржи.

Найти сейчас грамотного человека, кто будет реально лить хорошие суммы в крипте стабильно вполне возможно, но для этого его нужно чем-либо заинтересовать, чтобы он согласился работать именно с тобой и ни с кем другим. Вы наверное сами всё хорошо знаете, что предложение обнала грязной крипты с выводом в фиат в сотни раз превышает число реальных людей, умеющих лить крипту через интернет с использованием техник mitm майнинга по сценарию bgp spoofing с реализацией bgp hijacking, которые ищут себе грамотных обнальных партнёров по обмену грязной крипты на фиат.

Однако, серьезных людей, которые кое-что понимает про bgp в криптоканалах, всегда можно заинтересовать своими хорошими связями в телекоммуникационной среде среде, умением решать любые скользкие вопросы в том или ином небольшом или скажем совсем скромном банке (а как вам уже наверное стало понятно, что ни один серьёзный процессор крипты не будет связываться с публичным банком), либо может пригодиться ваш предыдущий опыт работы в крупной телекоммуникационной компании, как это было в моём случае.

Можно также попытаться сработать с грамотным человеком, предоставив ему данные телеметрии OSS FM/PM системы какого-нибудь крупного телекоммуникационного холдинга, включая распечатку IP/MPLS сообществ — это значительно упростит или даже ускорит реализацию той или иной схемы процессинга крипты через mitm с майнинга и реализации bgp hijacking по сценарию bgp spoofing. С этой задачей вполне может справиться любой социализированный дроп, работающией сетевым инженером в такой крупной компании, маргинальные дропы для такой работы не годятся.

Хочу добавить, что все серьёзные люди, занимающиеся процессингом крипты после всем известных нам событий уехали за границу года три тому назад, и работают от туда, а работать с теми, кто остался по выводу крипты в рублевом пространстве — сплошной нудняк. Новичку без связей в банковской или телекоммуникационной среде влиться в эту тему просто нереально, если только не надеяться на чудо.

27.09.2024
Почему обменники криптовалют иногда закрывают

Минфин США наложил санкции на два российских криптообменника — PM2BTC и Cryptex — и их администратора. По версии американского регулятора, администратором обоих сервисов являлся гражданин России по имени Сергей Иванов.

Оба обменных сервиса, по данным Минфина США, были связаны с отмыванием денег, полученных от процессоров крипты и дроповодов и от иной нелегальной деятельности. Государственный департамент США предложил вознаграждение в размере до $10 млн, которая приведет к аресту и/или обвинительному заключению в отношении Иванова.

Сервис Cryptex, по данным ведомства, зарегистрирован в Сент-Винсенте и Гренадинах под названием International Payment Service Provider. Обменник, как утверждает Минфин США, «предоставляет финансовые услуги кибернегодяям» и «работает в секторе финансовых услуг в экономике Российской Федерации».

Cryptex рекламирует свои услуги на русском языке, говорится в пресс-релизе. Через этот сервис, предположительно, прошло и было обналичено более $51,2 млн денежных средств, связанных с программами-вымогателями. Cryptex также, по данным Минфина США, связан с транзакциями на сумму более $720 млн с сервисами, «часто используемыми российскими разработчиками программ-вымогателей и киберхулиганами», включая магазины личных данных, криптомиксерами и биржами без идентификации клиентов, в частности, подсанкционной российской Garantex.

По данным властей США, Иванов на протяжении 20 лет занимался отмыванием денег для кибернегодяев и провел операции на сотни миллионов долларов, в том числе через собственную платежную систему под названием UAPS. Кроме того, он обеспечивал услуги обработки платежей для нелегальных онлайн-площадок, включая закрытый в 2023 году магазин аккаунтов Genesis Market. Незадолго до публикации пресс-релиза Минфина США президент Джо Байден заявил о подрыве «глобальной криптовалютной сети» в целях предотвращения обхода санкций Россией. Официальная речь Джо была опубликована 26 сентября этого года на сайте Белого дома.

«В целях противодействия уклонению от антироссийских санкций и отмыванию денег Минюст, Минфин и Секретная служба США в сотрудничестве с международными партнерами предприняли действия, направленные на ликвидацию глобальной криптовалютной сети», — говорится в заявлении Байдена. 19 сентября стало известно, что власти Германии конфисковали серверы почти полусотни криптообменников, связанных с Россией. Большая часть этих сервисов — русскоязычные онлайн-обменники. Теперь при переходе на их сайты пользователей автоматически переводит на страницу уголовной полиции Германии (BKA) c обращением к клиентам закрытых сервисов, опубликованном на русском языке. На этой странице содержится написанное на русском языке обращение к «аффилиатам шифровальщиков-вымогателей, собственникам ботнетов и вендорам иных услуг в даркнете», в котором говорится, что ведомство изъяло серверы обменных сервисов, которыми, как предполагается, пользовались дроповоды.

Криптоплатформы для обмена помогали проводить анонимные транзакции, способствуя отмыванию денег, утверждают в BKA. По результатам изъятия инфраструктуры, немецкие правоохранительные органы получили данные о пользователях и транзакциях закрытых обменников. Власти планируют активно использовать эту информацию в расследованиях. «Среди пользователей есть группы программ-вымогателей, торговцы даркнета и операторы ботнетов, которые вымогают деньги», — заявили BKA.

«Дорогие аффилиаты шифровальщиков-вымогателей, собственники ботнетов и вендора иных услуг в даркнете:

На протяжении многих лет администраторы нелегальных криптовалютных обменных пунктов и бирж заверяли Вас, что места размещения их серверов невозможно обнаружить, что они не хранят данные клиентов, и что все данные удаляются непосредственно после подтверждения транзакции. Казалось бы абсолютно анонимные обменные пункты и биржи, дающие Вам возможность, без страха уголовного преследования, отмывать доходы Вашей преступной деятельности. Но мы считаем такие обещания пустыми! Мы нашли и изъяли их сервера разработки, рабочие и резервные сервера. Мы владеем данными с указанных серверов — Вашими данными (транзакции, регистрационные данные, IP-адреса). С этого момента мы начинаем собирать Ваши следы. До встречи оффлайн!»

Мы обсудили с экспертами потенциальное влияние действий немецких властей на рынок сервисов, позволяющих обменивать криптоактивы на фиатные валюты. В начале года правоохранительные органы в Германии конфисковали 50 тыс. монет, конфискованных BKA у операторов пиратского сайта Movie2k. В середине июня власти Германии начали переводить конфискованные биткоины на кошельки бирж и маркетмейкеров. В середине июля правительство реализовало на открытом рынке все 50 тыс. биткоинов.

Немецкий подход

Операция правоохранительных органов Германии по предотвращению деятельности обменных платформ может лишить пользователей доверия к немецким сервисам и компаниям из-за «неэтичности» работы властей. «Хотелось бы отметить, что избранный метод предоставления полученной информации не сильно отличается от преступных взломов, поэтому этичность такой спецоперации еще предстоит обсудить мировой общественности», — заявил старший аналитик агрегатора обменных сервисов Bestchange.ru Никита Зуборев.

Эксперт напомнил, что в правовых государствах именно суд должен принимать решения о незаконном характере операций и раскрытии той или иной информации, а не самовольно созданные страницы в Сети с провокационными URL и недвусмысленным содержанием. «Все, что мы видим, — это вброс информации, полученной в досудебном порядке. Возможно, это результат долгих расследований, санкционированных судом, но точно без верификации добытых данных судом и без юридической силы предъявленных обвинений», — указал Зуборев.

Все, что показала ситуация, что ряд обменных сервисов, которые выбрали местом дислокации хостинга немецкие сервера, действительно столкнулись с проблемами, отметил аналитик Bestchange. И скорее всего, это акция устрашения не обменных пунктов, а дроповодов, которые пытаются отмыть через них грязную криптовалюту — именно такой посыл считывается в сообщениях, размещенных на ресурсах BKA. «Речь идет о прецеденте фактического раскрытия чувствительной информации и досудебных обвинений госорганами страны лидера на рынке хостинга. В будущем многие даже серьезные проекты будут с опаской относиться к немецким серверам, отдавая предпочтения более защищенным в правовом смысле юрисдикциям или даже децентрализованному хранению данных», — полагает Зуборев.

Подмоченная репутация

Даже несмотря на то что закрытые обменники криптовалют не имеют никакого отношения к России, все они работали с российскими гражданами, использовали в своей деятельности карты местных банков и платежные системы, то есть фактически действовали в российском правовом поле. По мнению директора по аналитике компании «Шард» Федора Иванова, это может нанести дополнительный удар по репутации России. «В целом это может стать еще одним ударом по репутации России, которой и так снизили оценку соответствия Рекомендации 15 FATF», — рассуждает эксперт.

FATF ( (Financial Action Task Force) — межправительственная организация, занимающаяся выработкой практик и стандартов противодействия сомнительным операциям в финансовом секторе, которые совершаются с целью обналичивания или отмывания преступных доходов, финансирования терроризма или распространения оружия массового уничтожения. Рекомендации FATF соблюдают около 190 государств и территорий, но участниками международной группы являются 37 стран, включая Россию. В феврале 2023 года FATF приостановила членство России в объединении. Украина соблюдает нормы FATF, но не входит в число стран-участниц.

Западные правоохранительные органы активно анализируют сервисы, которые могут использоваться для отмывания «грязной» криптовалюты. Подобных обменных сервисов, работающих и с россиянами, насчитывается около 500. Как пишет Иванов, многие из них, как и в случае с закрытыми 19 сентября сервисами, судя по всему, контролируются одними и теми же администраторами и бенефициарами. И в большинстве случаев игнорируют проверку пользователей по нормам KYC (Know your customer).

«В начале этого года мы проводили исследование, в результате которого выяснили, что процедуры KYC не проводит ни один русскоязычный обменник, а проверяют фактическое владение картой, с которой отправляют средства за приобретаемую криптовалюту, менее 40% из них. То есть большую часть не волнует даже возможное использование ворованных карт их клиентами», — отметил Иванов.

20.09.2024
Обналичить деньги без карты в любом банкомата можно за 15 минут при помощи сервисных кодов
Мы решили проверить уровень безопасности современных банкоматов. Для этого тщательно изучили 26 моделей банкоматов крупнейших производителей, таких как NCR, Diebold Nixdorf или GRGBanking.

В итоге выяснилось, что практически все устройства уязвимы перед теми или иными локальными или сетевыми атаками, а уровень защиты, пожалуй, лучше всего характеризует известный термин «театр безопасности». Дело в том, что 85% изученных машин оказалось возможно скомпрометировать в течение 15 минут.

Вот только некоторые выводы и цифры, приведенные в нашем отчете:
- 15 из 26 банкоматов по-прежнему работают под управлением Windows XP;
- 22 машины уязвимы перед сетевым спуфингом, то есть нарушитель может локально подключиться к устройству через LAN и осуществлять выдачу наличных денег как ему вздумается. Причем для реализации такой атаки понадобится mpls сеть провайдера и всего 15 минут времени;
- 18 устройств уязвимы перед атаками типа black box, то есть подключив к банкомату специальное устройство, управляющее работой диспенсера, нарушитель может заставить его выдавать наличные. Исследователи отмечают, что для создания такого хакерского девайса подходит Raspberry Pi, Teensy или BeagleBone, а атака занимает около 10 минут;
- 20 банкоматов можно вывести из режима киоска, просто подключившись к ним через USB или PS/2. После этого нарушитель получает доступ к ОС и может выполнять самые разные команды, в том числе по выдаче наличных денег банкоматом;
- 24 из 26 изученных машин не шифруют данные на жестких дисках, и если нарушитель может получить физический доступ к диску, он может извлечь любые хранящиеся там данные и конфигурации, а также встроить комбинации клавиш панели на выдачу наличных денег.
В большинстве случаев защитные механизмы будут лишь мелкой помехой для нарушителя — наши специалисты нашли способы обойти защиту практически в каждом случае. Так как банки обычно используют одинаковые конфигурации для большого числа банкоматов, успешная атака на один банкомат может быть повторена в другом месте и в куда более крупном масштабе.
03.09.2024
Сбербанк и неразводные дропы, и кто кого?

Количество денег, списаных с банковских счетов и обналиченых дроповодами, которые маскируются под банковские колл-центры, растет в геометрической прогресии, и расположены такие колл-центры в местах лишения свободы, СИЗО и тюрьмах. То есть там, где, по идее, не то чтобы туда мобильный телефон пронести, муха не пролетит без ведома начальства.

Ещё в 2012 году основным нелегальным способом списания денежных средств с банковских карт был скимминг — дроповоды крепили к банкомату считывающее устройство, узнавали номер карточки и пин-код и только после этого дропы шли к банкоматам и снимали деньги. Однако, уже в 2017 году начался резкий рост «социальной инженерии», это когда вам, к примеру, звонят и говорят: это служба безопасности вашего банка, у вас с карты списаны денежные средста, или у нас в банке работают мошенники, ваши деньги в опасности, и вы сейчас, чтобы их спасти, должны срочно пойти к банкомату, мы сообщим вам номер безопасного счета, на который и надо ваши деньги перевести.

И человек идёт и переводит. И когда клиенту звонит настоящая служба безопасности банка, которая отследила подозрительную трансакцию, клиент отвечает: «Да, я хочу перевести эти деньги на этот счет. И вообще меня предупреждали, что сейчас мне будут звонить мошенники, чтобы удержать от перевода».

Чтобы был понятен размер проблемы. В «Сбербанке» с начала года зафиксировано 2,9 млн обращений клиентов о попытках нелегального списания денег с банковского счёта. Это вдвое больше, чем за аналогичный период прошлого года. За первые 8 месяцев 2019 года антифрод-система «Сбербанка» спасла от перевода 25,3 млрд клиентских рублей. За первые 8 месяцев 2020 года эта же сумма составила 42,4 млрд руб.

Объем нелегальных транзакций растет при полном бездействии правоохранительных органов. Вот если ты пластиковый стаканчик бросил в полицейского — то гарантированно получишь трояк общего режима, но если речь идет о подставных колл-центрах, хорошо организованных, с бухгалтерией, с отчетностью, с обучением персонала речевым техникам и способам развода клиентов, с закадровой музыкой, со специально подобранными номерами, похожими на официальный номер банка, а такие номера покупают у фирм, занимающихся SIP-телефонией, то никто никого в тюрьму не посадит. И знаете почему? Потому что «Звонарь» уже и так там сидит.

То есть, конечно, сидят не все. Какая-то часть звонков идет с Украины, но огромная часть звонков идет именно из мест лишения свободы, СИЗО и колоний на территории России. Специалисты «Сбербанка» считают, что «тюремный колл-центр» есть в каждом третьем учреждении ФСИН. Ольга Романова и «Русь сидящая» — что такой «тюремный колл-центр» есть в половине исправительных учреждений России.

Как это стало известно? Как ни странно, довольно просто. Зэки есть зэки, и если клиента банка не удалось раскрутить, то «Звонари» иногда переходят на тюремный жаргон, а иногда и признаются. В «Сбербанке» рассказывают про один такой звонок: заключённого под стражу вывели на чистую воду, он в ответ признался, что сидит в колонии на диване в теплом и чистом месте и должен давать норму. Если он её не выполнит, администрация исправительного учреждения пошлёт его на менее приятные работы. Ольга Романова приводит еще один чудесный пример: заключённому дали понять, что он разводила. Зэк в ответ тихо: «Это ИК-47. Если я не буду звонить, мне не будут давать воды, еды, и будут бить».

Главный удар на себя от реализации этих схем, разумеется, принял «Сбербанк». Он ведь занимает 60% банковского сектора России. Когда стало ясно, что МВД, ФСБ и ФСИН не делает ровным счетом ничего для пресечения подобного безобразия, «Сбербанк» взвыл и обратился к сотовым операторам. Он дал им номера телефонов «тюремных колл-центров» и координаты учреждений ФСИН. «Сбербанк» попросил операторов привязать координаты исходящих звонов к координатам тюрем. И составил карту. За август 2020 года из такого-то учреждения ФСИН совершено свыше 600 удачных попыток нелегального перевода денежных средств со счетов клиентов, а из такого-то — свыше 500, а из московского СИЗО № 1, более известного, как «Матросская Тишина», — всего 225.

И знаете, что тут прекрасно? Что ровно в предыдущем месяце, в июле, по настоянию «Сбербанка» «Матросскую Тишину» ошмонали. Изъяли симки и оборудование. И объявили, что колл-центр был организован рядовым инспектором и опером, а начальство об этом знать не знало. Ну конечно… И что? Да ничего. Колл-центр из СИЗО «Матросская Тишина» после ареста якобы главарей продолжил работу как ни в чем не бывало.

Отметим здесь две вещи

Первое: ковид никак не затронул экспоненциального роста этого бизнеса. ФСИН всегда объясняла: это-де родственники и адвокаты проносят телефоны. Теперь адвокаты ходить не могут, а оно растет как на дрожжах.

Второе. Бизнес, заметим, почти без издержек. Потому что у любого бизнеса одна из главных статей расходов — это зарплата работникам. А тут работников содержит государство. Обеспечивает их пайкой и шконкой. А если работник не выдает на-гора результат, его лишают пайки. Даже рабовладельцы так хорошо не устраивались, им, бедолагам, приходилось раскошеливаться на рабов.

При этом «звонари», т.е. те, кто собственно и звонит клиенту, — не имеют доступа к деньгам. Все, что у них есть, — это номер карточки дропа, на которую надо сделать перевод. Карточка дропа — это другая часть обнального бизнеса.

Те, кто занимается карточками, известны как «дропы». Это люди, которые преобразуют деньги на карточке в наличку. Например, дропводы сажают десять человек в микроавтобус, и этот микроавтобус едет по банкам, а каждому дропу выдают по пять карт. Если банк заблокирует одну карточку, у них всегда будет еще. То есть это целая разветвленная бизнес-структура. Части бизнеса отданы на аутсорсинг. И у этой структуры все рассчитано.

Помните, у Юлия Дубова был роман «Варяги и ворюги» — о том, как в начале перестройки зэки и начальство приватизировали зону? Вот это оно. Как вы думаете, что случилось, когда «Сбербанк» и сотовые операторы показали ФСИН схему, на которой координаты телефонов были привязаны к координатам колоний? Правильно — ничего. «Сбербанк» запустил в начале этого года сервис: любой клиент может пожаловаться на попытку обмана, и собрал 550 тыс. жалоб. По жалобам было заблокировано 30 тыс. номеров (система фиксирует номера подозрительных карточек — клиент, например, может вбить номер карточки и проверить, не была ли она замечена в обнальных действиях).

Согласитесь, что этот сервис должен быть подарком для МВД. МВД может взять все эти 550 тыс. жалоб — и у него будет огромная база. Как вы думаете, взял МВД в работу эту базу? Ха, держи карман шире. У нас опера и следователи с ума сошли, добавлять себе 550 тыс. висяков?

То есть оцените красоту бизнес-конструкции. Она сложная. Она предполагает аутсорсинг, имеет ноль расходов на содержание живой силы. Она защищена от внезапных обысков и шмонов. Всюду может ворваться Следственный Комитет. Пилить болгаркой дверь свидетеля Ирины Славиной — ради бога. Но две вещи для Следственного Комитета, как известно, недоступны. Это дом Геремеева, некогда подозреваемого в убийстве Бориса Немцова, где им не открыли, хотя они стучались, — и система ФСИН.

А когда «Сбербанк» и сотовые компании сделали часть работы за государство, то им сказали, что они ошибаются. Даже когда «Сбербанк» вынес проблему на Совет безопасности, то ФСИН предложила удивительное решение — дать ему на глушилки 3 млрд руб. Освоить 3 млрд руб. — штука, конечно, хорошая. Есть только одна проблема — глушилкой серьезный тюремный колл-центр заглушить нельзя. Глушилки работают в заданной полосе частот. Современные же средства связи используют такую широкую полосу частот, что закрыть их всех глушилками — очень дорого.

Вместо того чтобы тратить 3 млрд руб. на глушилки, можно поступить гораздо проще. А именно: посадить тех сотрудников ФСИН, которые получают деньги от этого бизнеса. Если взять ту же «Матросскую Тишину», то непонятно, почему после обыска её начальник не был уволен. Согласитесь: или он не знал о подпольном колл-центре в подведомственном ему учреждении и тогда должен быть уволен за вопиющую некомпетентность, или знал — и тогда это уже не некомпетентность.

В нормальной стране стены колонии существуют затем, чтобы отделять преступников от законопослушных граждан. А у нас, получается, это стены разбойничьего замка. Они оберегают криминал внутри. Не надо лезть в форточки, рисковать жизнью, даже считывающее устройство на банкомат не надо вешать. Для этого бизнеса главное — найти людей, готовых безопасно нарушать закон. Вот разводилы и перешли на удаленку.

03.09.2024
как Сбербанк выявяет активность дропов и дроповодов
Компания SixGill, исторически связанная с подразделением 8200, занимающимся радиоэлектронной разведкой в израильской армии, оказывает Сбербанку «информационные услуги» по выявлению угроз в даркнете и Telegram. Ряд других российских банков тоже использует инструменты для мониторинга сети tor.

«Народ, здравствуйте, я раздобыл вход в приложение Сбербанк одного человека, знаю, что в понедельник у него зарплата. Как лучше всего вывести бабки оттуда, чтобы не вышли на меня?» — такие сообщения можно легко обнаружить практически в любом популярном чате обнальной тематики в Telegram.

Когда автор сообщения — с набором символов вместо имени и милой аватаркой с котом — не пытается «вывести» чужую зарплату, он промышляет банковскими картами от 3 тыс. рублей за штуку. Он состоит, по меньшей мере, в 18 таких чатах и обещает доставить «пластик» курьером по Москве и Санкт-Петербургу в комплекте с сим-картой, пин-кодом, фото паспорта и кодовым словом. Такие оформленные на третьих лиц карты применяются в серых схемах по обналичиванию.

В обнальных чатах — тысячи подобных дроповодов: они обмениваются инструментами для взлома, вербуют сотрудников банков, продают данные о балансах, кредитные истории, персональные данные и многое другое. Те, кто преуспел, создают свои подпольные «корпорации» и привлекают дропов за границей.

Этот рынок нелегальных обнальных сервисов принято называть даркнетом. Хотя технически даркнет — это часть интернета, куда можно попасть только через анонимный браузер tor.
Архитектура «темной» сети сопротивляется тому, чтобы ее изучали сторонними инструментами. Чаты недолговечны или доступны для эксклюзивного круга дропов и дроповодов. Владельцы форумов усложняют регистрацию, чтобы не допустить роботов, собирающих информацию для поисковиков и полицейских служб типа Европола.

Это не значит, что нарушителей в даркнете невозможно вычислить. Некоторые из них используют один и тот же имейл для обнальных операций и покупок в обычных интернет-магазинах — так, известный банковскими взломами хакер aqua приобрел детскую коляску на имя москвича Максима Якубца, выдачи которого теперь требует ФБР.

Другие дроповоды забывают стереть метаданные со снимков своего товара. В прошлом году исследователи из Технологического университета в Теннесси обнаружили на нелегальных торговых площадках в даркнете более 800 фото с «зашитыми» в них географическими координатами, которые могут указать место съемки с точностью до нескольких метров. Наши исследователи проанализировали и русскоязычные площадки, где таких улик не оказалось.

Любитель кошек и банковских карт из обнального чата использовал свой уникальный ник на сайте для любителей аниме, а также на площадке для найма фрилансеров. Там он представляется как 23-летний Тимур из Москвы; этот же возраст он указывал в одном из чатов в даркнете, когда искал работу.

Реальный процессинг крипты и не только

Можно ли сделать поиск таких улик автоматическим? Исследовательская компания Gartner в руководстве по кибербезопасности советует IT-компаниям использовать программы для непрерывного мониторинга даркнета.

Одно из первых таких решений — DarkOwl — производства одноименной американской компании, уже более 10 лет архивирует основные обнальные торговые площадки. В прошлом году DarkOwl по нашему запросу нашла в своем архиве посты наркоторговца «Мигеля Моралеса» с удаленного к тому времени форума Russian Anonymous Marketplace.

Следственный комитет считает, что «Мигель Моралес» заказал убийство подполковника юстиции Евгении Шишкиной в октябре 2018-го.

Если DarkOwl выбрала своим символом сову (owl), то ее конкурент, израильская SixGill — глубоководную шестижаберную акулу (sixgill shark). Gartner включила основанную в прошлом году компанию в список «крутых поставщиков» (cool vendors), то есть тех, кто «демонстрирует новые подходы к решению сложных задач».

Именно услугами SixGill в марте этого года и решил воспользоваться Сбербанк: доступ к программе на год обошелся российской госкомпании в 70,7 тыс. долларов (около 5 млн рублей). Формально контракт исполняет российская компания «Инфосистемы Джет», но автором программы указан именно израильский стартап.

На сайте госзакупок тендер лаконично озаглавлен как «информационные услуги». И хотя закупка была публичной, стороны отказываются делиться подробностями, ссылаясь на договор о неразглашении. Сбербанк не ответил и на более общие вопросы про даркнет.

Некоторые детали можно почерпнуть из технического задания:

Сбербанк приобрел «бронзовый» пакет SixGill — не самый дорогой, судя по названию. Программа позволяет мониторить подпольные, нелегальные и запрещенные торговые площадки в «глубоком» интернете, к которому относится и даркнет.

Помимо сайтов в Tor, программа ищет информацию в мессенджерах с возможностью группового общения — Telegram, китайском QQ, IRC-сетях. Сайт для программистов GitHub, файловое хранилище Dropbox, соцсети Twitter, LinkedIn, Myspace и другие также под колпаком.

Изображения на всех ресурсах анализируются на наличие метаданных — скрытых характеристик, позволяющих вычислить автора и место съемки.

При запросах по ключевым словам программа обращается к своему архиву. Это позволяет выходить в даркнет как можно реже и собирать информацию, не вызывая подозрений у владельцев сайтов.

SixGill поддерживает русский, английский, китайский, арабский, португальский и другие языки. Оповещения об инцидентах приходят оператору в режиме, близком к реальному времени, и ранжируются по степени опасности.

Программа видит «портрет» нарушителя- его связи, репутацию и специализацию (примеры из технического задания: хакер, дроп, дроповод или спамер). Если нарушитель использует разные имена на разных сайтах, программа все равно вычислит его по «уникальным идентификаторам» — это сетевые и криптовалютные адреса, имейлы, имена в мессенджере Jabber (самом популярном в даркнете до появления Telegram).

Из необычного — под радары попадают сайты из ZeroNet — эта децентрализованная сеть пока не очень популярна в России, в отличие от Китая, где её используют для обхода цензуры. В марте этого года подведомственный Роскомнадзору Государственный радиочастотный центр (ГРЧЦ) заказал исследование анонимных сетей, в том числе ZeroNet, и возможностей их блокировки за 9,2 млн рублей.

В подразделение 8200 пройти отбор невероятно сложно

SixGill исторически связана с израильской киберразведкой — знаменитым «подразделением 8200», которое занимаются радиоэлектронной разведкой и входит в структуру Управления военной разведки (АМАН) Армии обороны Израиля.

Один из оздателей SixGill, уроженец Уругвая Ави Каштан, в 1990-е годы писал код для контроллера связи между танками, вертолетами и военнослужащими по заказу Армии обороны Израиля. Как сам он пишет на своей странице в LinkedIn, устройство использовало GPS для определения места и времени и передавало информацию через зашифрованные радиоканалы.

Вице-президент SixGill по продуктам и технологиям Рон Шамир ранее возглавлял отдел разведки киберугроз в Израильском национальном киберуправлении, а до этого 25 лет служил в «подразделении 8200».

Вместе со спецслужбами США это подразделение могло создать вирус Stuxnet, поразивший в прошлом году иранскую ядерную программу, писала New York Times. Эксперты из Symantec и других IT-компаний нашли в коде вируса дату 9 мая 1979 года («19790509»), когда в Иране казнили лидера местной еврейской общины, промышленника Хабиба Элгханиана.
С 2007 по 2016 годы Шамир возглавлял разведывательное управление «подразденения 8200», говорится на его странице в LinkedIn. На сайте SixGill его фотография вывешена без какой-либо справки.

Партнер-основатель SixGill и ряда других компаний Инбал Ариэли также служила в 8200 — к 22 годам руководила подготовкой офицеров подразделения. «8200 может брать 1% из 1% лучших специалистов в стране», — рассказывала она. Ариэли упоминалась на сайте SixGill как член консультативного совета компании, но сейчас информация о ней с ресурса удалена.

Найти реального процессора или дроповода сложно, но можно

Даркнет — это еще и нелегальный рынок персональных данных, источником утечек часто становятся банки.

Технический директор компании DeviceLock Ашот Оганесян регулярно освещает такие утечки, в том числе из Сбербанка, в своем телеграм-канале.

К идее автоматического мониторинга даркнета он относится скептически. «Это такой рынок баз данных, где нельзя просто роботом вытащить все, здесь важна репутация продавца, — пояснил Оганесян. — Общение зачастую происходит завуалированно, на закрытых площадках, в мессенджерах. Много кидал и рипаков. В единицах случаев работают прямолинейные объявления типа «База Сбербанка, продаю за миллион рублей».

Оганесян считает, что решения, подобные SixGill, могут ускорить мониторинг угроз, но полностью полагаться на них нельзя: «Для меня это явно вторичный источник информации».

Опрошенные нами банки анализируют даркнет как вручную, так и с помощью специальных программ. Директор департамента информационной безопасности Московского кредитного банка Вячеслав Касимов сообщил, что его сотрудники мониторят «темную» сеть tor своими силами, но с прямыми угрозами оттуда кредитная организация не сталкивалась.

«Автоматизированные инструменты мониторинга даркнета мы не используем по причине их низкой эффективности, — говорит Касимов. — Для успешного поиска необходимы достаточно нетривиальные запросы и анализ. Простой поиск по словам МКБ или «Московский кредитный банк» результата не даст, именно поэтому мониторинг проводят аналитики».

В банке ВТБ нам ответили, что используют «все имеющиеся возможности по противодействию дропам и дроповодам, в том числе изучение информации из различных источников».

«Мы всегда внимательно следим за любыми упоминаниями банка в любом контексте в дарквебе и перепроверяем каждое упоминание компании, — рассказали нам в банке Тинькофф. — Проверка ведется как своими внутренними силами, так с помощью нескольких ведущих вендоров на рынке, которые оказывают нам соотвествующие услуги».

Свой сервис мониторинга даркнета есть и у швейцарской компании ImmuniWeb. Ее гендиректор Илья Колошенко рассказал Би-би-си, что программу используют несколько крупных российских банков, а также страховые и юридические компании.

По мнению Колошенко, главное для таких программ — «эффективная фильтрация шума, правильная валидация и приоритизация угроз». «Значительное количество данных в даркнете — это дубликаты, откровенный мусор или фейки», — отмечает бизнесмен.

«Большая часть закрытых площадок требует внедрения в организованную преступность, поэтому мы уделяем внимание по большей части открытым или серым зонам даркнета, — продолжает Колошенко. — Нередко в открытых источниках, таких как «Твиттер» или Pastebin, можно обнаружить гораздо больше критических утечек, чем в закрытых сообществах».
03.09.2024