Когда украинские силовики сообщают, что поймали какого-то злого хакера, общественности это скучно. Подумаешь, сайты с пиратскими фильмами хостил или 100 000 грн утащил с карточек. Чиновники вон взятками и побольше гребут.
Но на днях произошло нечто посерьезнее.
16 июля СБУ сообщила о задержании одессита Михаила Рытикова. Это хостер, которого давно разыскивают силовики нескольких стран. Предположительно, он контролировал до 40% даркнета СНГ. А за его плечами - целая детективная история в стиле сериала от Netflix: с выкрутасами, троллингом и инженерной смекалкой. И финал этой истории пока совсем не очевиден.
Подробности дела
Сообщники?
Хакерский мир знает Михаила Рытикова уже очень давно. Американские СМИ не раз сообщали, что он был частью группировки, которая подозревалась в краже с последующей продажей более 160 миллионов "дампов" (номеров и паролей) платежных карт. Хакеры промышляли в период с 2005 по 2012 годы, среди их жертв — компании, банки, торговые центры и простые граждане.
В 2013 году прокуратура Нью-Джерси выдвинула хакерам обвинения. На тот момент это были 26-летний Александр Калинин, 31-летний Николай Насенков, 32-летний Владимир Дринкман (Scorpo), 32-летний Роман Котов и 29-летний Дмитрий Смилянец (Smi). Еще один участник - 26-летний одессит Михаил Рытиков (AbdAllah).
У каждого из участников группы была своя специализация. По версии прокуратуры, Калинин и Дринкман проникали в компьютерные сети транснациональных корпораций, банков и платежных систем. Котов доставал данные, Рытиков якобы через свою компанию предоставлял анонимный веб-хостинг для взлома чужих компьютеров и выкачивания данных. Смилянец занимался продажей номеров кредиток и личных данных. Они наносились на чистые карты, с которых клиенты снимали деньги через банкоматы во всем мире.
Спецслужбы долго гонялись за хакерами по всему миру. В конце концов двоих из участников группировки взяли. В феврале 2018 года уроженец Сыктывкара Владимир Дринкман был доставлен из КПЗ в федеральный суд штата Нью-Джерси и приговорен к 12 годам лишения свободы.
Тогда же выслушал приговор и его сообщник, москвич Дмитрий Смилянец, сознавшийся еще в 2015 году в сговоре с целью совершения мошенничества.
Хакеров взяли в Голландии. Секретная служба США обнаружила в соцсетях фотографию Смилянца на фоне известной надписи I Love Amsterdam и попросила голландских коллег их задержать возле отеля. По легенде Дринкман познакомился со Смилянцом в 2003 году за игрой в Counter-Strike.
Всего лишь услуги хостинга
У Михаила Рытикова, который продолжал скрываться в Одессе, в Штатах был адвокат Аркадий Бух. В апреле 2018 года, что ведет переговоры с Департаментом юстиции США о возможности привезти своего клиента, чтобы тот предстал перед судом.
Четыре безрезультатных попытки
В первую разработку Рытиков попал в 2009-м. В США на него составлено три обвинительных акта, но предъявить обвинение до сих пор не удавалось. Американцы оценивают общий ущерб своих компаний в $305 млн. Под удар попали такие компании как Visa, 7-Eleven, Dow jones, NASDAQ.
В 2009 году в Одессе с подачи американских спецслужб украинским правоохранителям таки удалось арестовать в рамках следствия около 100 серверов. Но к самому хакеру было невозможно прикопаться. Даже более того: впоследствии он обратился к СМИ с открытым письмом, в котором заявил, что стал жертвой репрессий.
Рытикова освободили, когда он дал взятку коррумпированным чиновникам. Так рассказывал источник в украинских спецслужбах изданию Cyberscoop.
“Рейд 2009 года - это момент, когда Рытиков начал регулярные выплаты по своей защите коррумпированным украинским офицерам СБУ”, - пишет американское издание со ссылкой на источника.
В 2012 году с инфраструктуры Рытикова были атакованы компании в Японии. Украинские службы обменивались с коллегами из Страны восходящего солнца данными. Но на этот раз даже серверы хакера уцелели.
Ему всегда удавалось узнавать о предстоящих оперативных действиях немножко заранее. У спецслужб создавалось впечатление, что кто-то попросту сливает все их усилия.
2014 год. Рытикова берут в Беларуси, но в США не экстрадируют. Снова выходит сухим из воды.
2016 год. С подачи США проводится обыск в помещениях Рытикова. Но оперативники ничего не находят. Ничего существенного, что могло бы связать хакера с хоть какими-то уликами. За день до обысков он отправляется на дачу. А вернувшись, разводит руками. Мол ничего не знаю, не моё.
За 12 лет такого своего киберразгула Рытиков обзавелся не только “неприкасаемой” репутацией. По информации оперативников, у него несколько больших квартир в Одессе, дачи, дорогая иномарка. Не считая интересного дома, о котором речь пойдет ниже.
Новая попытка
В новую разработку Михаила Рытикова взяли в январе 2018 года. Несколько месяцев вели наблюдение и собирали доказательства. Как именно связали даркнетовские аккаунты и фигуранта, в правоохранительных органах не делятся, ссылаясь на тайну следствия. “У нас в разработке еще несколько группировок. Не хотим их предупреждать”, - объясняют силовики.
11 июля хакера задержали. Параллельно оперативная группа (всего в операции участвовало 120 человек) прибыла в Одессу. Часть из нее в целях конспирации думала, что направляется в Николаев. А в Южной Пальмире Михаил организовал подпольный дата-центр. Подпольный - в буквальном смысле.
Как рассказали источники в правоохранительных органах, хакер выкупил участок земли, на котором впоследствии вырыли котлован и построили частный дом. В подвале обустроили помещение со стойками, вытяжками и кондиционерами. Вытяжку соединили с каминной трубой, наружу были выведены только блоки кондиционеров.
“Дата-центр” - комната квадратов на тридцать - прятался под автоматическим полом, полностью изолированный от внешнего мира. Открывался он по нажатию кнопки в стене. По словам участников операции, вначале показалось, что группа задержания ошиблась - настолько тщательно был замаскирован вход. Но оперативники точно знали, что данные о локации верны. Лишь по косвенным признакам - строящийся дом с работающими кондиционерами - они поняли, что датацентр где-то все-таки должен быть.
В итоге оперативники изъяли 146 серверов на сотни терабайт “противоправной информации”. Общие затраты на оборудование, мощный электрогенератор, строительство и обустройство дома, договоренности с РЭС о выделенной электрической линии организаторы задержания оценивают в $700 000. Только один генератор мог стоить $150 000. С его помощью, даже при отсутствии электроснабжения, дата-центр мог работать еще не один день.
Дом с фальшивым полом, кстати, не успел полностью выполнить свое предназначение. По словам руководителей операции, его планировалось отремонтировать и заселить туда пожилую пару для отвода глаз. Наружные блоки кондиционеров должны были замаскировать, чтобы вообще не привлекать внимания.
Что же делает подобный дата-центр? В СБУ говорят, что подобные площадки используют те, кому нужно что-то взламывать. То есть на них может храниться вирусное ПО, хоститься фишинговые сайты. Еще они могут быть классическим хранилищем для “запрещенки” - детской порнографии, сайтов по продаже наркотиков или оружия, краденных банковских карт и т.д.
Представитель украинских спецслужб (источник Cyberscoop) рассказывал, что Рытиков даже однажды предоставил инфраструктуру для российского хакера по имени Евгений Богачев, известного в Интернете как Славик, автора вредоносного ПО GameOver Zeus.
Рытиков якобы пожаловался на Славика за то, что тот не заплатил ему $30 000 за два месяца хостинга инфраструктуры Zeus.
С Рытиковым, говорят силовики, работала целая сеть администраторов. Ведь нужно было обеспечивать круглосуточную бесперебойную работу дата-центра. Личности администраторов установили частично. Задержать удалось пока только одного.
По оценке СБУ, группировка насчитывает около десяти основных участников и десятки пособников, посредников в ряде стран мира. А также тысячи клиентов.
“Они обеспокоены тем, что в руках спецслужб оказались сотни терабайт данных, которые могут стать доказательствами в сотнях уголовных дел во всем мире. По нашим оценкам, речь может идти о 40% русскоязычного сегмента Dark Net”, - сказал на пресс-конференции врио начальника Департамента контрразведывательной защиты интересов государства в сфере информационной безопасности СБУ Николай Кулешов.
Силовики говорят, что хакер все-таки старался следовать неписаному хакерскому правилу: не работать по той стране, где живешь. Поэтому с его серверов шли атаки на “денежные” Европу, США, частично Китай. Своим же клиентам из даркнета Рытиков заявлял, что серверы стоят в Ливане или других странах Ближнего Востока.
Но, как предполагают источники редакции, серверы Рытикова все-таки участвовали в атаках на украинские госсайты. То есть негласный кодекс он все же мог нарушать.
Открытый финал
Интересно то, что несмотря на десятилетний шлейф международных разбирательств, предъявить Михаилу серьезное обвинение достаточно сложно. Его и задержанного администратора суд поместил под двухмесячный домашний арест. Не особо ограничивая в средствах связи. Подозрение задержанным вынесли по уголовным правонарушениям, предусмотренным ч. 2, ст. 361 (незаконное вмешательство в работу компьютеров, систем и компьютерных сетей) и ч. 3 ст. 301 (ввоз, изготовление, сбыт и распространение порнографических предметов) Уголовного Кодекса.
Liga.Tech удалось связаться с бывшим американским адвокатом Рытикова - Аркадием Бухом. Тот сообщил, что дела там примерно в той же стадии, что и год назад. Владимир Дринкман сел надолго (якобы за то, что долго сопротивлялся американской прокуратуре), Дмитрий Смилянец уже на свободе, Михаил Рытиков - в розыске. Украина не экстрадирует своих граждан, сам Рытиков не рвется в США. Но, как говорит Бух, “если кто-то не прогибается под требования или обвинения американцев, они начинают мстить”.
По мнению адвоката, у украинских силовиков нет инфраструктуры и нет права использовать системы Microsoft, Apple, Google. К которым, в свою очередь, есть доступ у США. “Это то, почему серьезные компьютерные преступления мало кто расследует, потому что там надо иметь качество доказательной базы”, - считает американский адвокат. Другие спецслужбы - хоть в Украине, хоть в Западной Европе - ловят только “дропов”, то есть тех, кто разносит незаконные посылки, снимает ворованные деньги. Или максимум их управляющих. Но не организаторов.
Он допускает, что американцы могли собрать серьезную аналитику и передать нашим властям. А местные власти это дорабатывают.
Журналистам редакции также удалось поговорить и с самим Михаилом, который находится под домашним арестом. Он говорит, что купил себе новый телефон, так как всю домашнюю технику у него изъяли в ходе обысков. Но про подпольный дата-центр Михаил говорит, что ничего не знает.
“Помещения не мои, это они уже их ко мне приплели”, - говорит он.
Подозреваемый подтвердил, что занимается хостингом. Но подчеркнул, что использует только арендованные удаленные сервера в Европе. Якобы перепродает на них места своим клиентам. На этом и зарабатывает. Чем занимаются его клиенты - говорит, что не знает. “Мы не обязаны проверять сотни терабайт информации, которые хранятся на серверах”, - уточняет Рытиков.
Более того, Рытиков говорит, что ничего не знает о россиянах, которые фигурируют с ним в американских делах.
По его мнению, последний обыск - это месть СБУ, против сотрудников которой тоже зарегистрировано несколько производств и идут расследования - в Генпрокуратуре и Нацполиции. По его словам, дела заведены по факту расхищения имущества и незаконной прослушки Михаила и членов семьи.
