Что мы узнали про «Шалтай Болтай» благодаря расследованию ФБР

[dolboed]

В России аресты членов группировки «Шалтай Болтай» и их кураторов из ФСБ начались прошлой осенью. Но нет шансов, что нам когда-нибудь расскажут, почему за ними на самом деле пришли. Зато по другую сторону Атлантики проведено масштабное расследование в связи со взломом серверов Yahoo!, и его материалы проливают некоторый свет на деятельность хакеров и офицеров ФСБ, имевших отношение к работе этой группировки. Благодаря усилиям американских кибер-сыщиков, кое-что становится понятнее в наших внутрироссийских новостях.

На сайте Департамента юстиции США выложен скан 38-страничного обвинительного заключения в отношении четырёх «российских хакеров», обвиняемых во взломе американских почтовых серверов. Все обвинения посвящены эпизодам 2014-2016 годов.

Двое из обвиняемых — офицеры ФСБ: арестованный в прошлом году по делу «Шалтая-Болтая» Дмитрий Докучаев и его начальник Игорь Сущин, с того же года разыскиваемый ФБР. Один из хакеров — коммерческий взломщик Алексей Белан, давно знакомый американскому правосудию: судами Невады и Калифорнии его арест санкционировался ещё в 2012 и 2013 годах в связи с крупными взломами тамошних сервисов. В 2013 он был даже задержан в Европе по американскому запросу, но вместо экстрадиции в США сумел сбежать в Россию. Согласно обвинительному заключению, Белан помогал своим кураторам из ФСБ, предоставляя им доступ к взломанным почтовым ящикам интересующих их россиян на почтовом сервере Yahoo!.

Четвёртый обвиняемый — задержанный на днях в Канаде 22-летний Карим Баратов, уроженец Казахстана, который раньше ни в каких расследованиях и публикациях СМИ не фигурировал. Bloomberg накопал довольно любопытный профайл о его образе жизни. Пишут, что на деньги, заработанные хакерскими подвигами, юноша сумел выплатить ипотеку за двухэтажный дом в Канаде и купить несколько дорогих машин. Соседями характеризуется исключительно с положительной стороны: хороший товарищ, спортсмен, очень вежливый и доброжелательный молодой человек.

Согласно материалам обвинения, к Баратову офицеры ФСБ обращались за помощью при взломе аккаунтов Gmail, от которых у Белана паролей не было. Канадский хакер осуществлял точечные фишинговые атаки на указанные заказчиком адреса, выманивал пароли жертв и передавал их Докучаеву, получая от него по 100 долларов за каждый взломанный таким способом ящик. В общей сложности Баратов по заказу своих московских клиентов взломал 80 ящиков Gmail. Знал ли он при этом, на кого работает, непонятно, но для целей обвинения и не важно. Минюст США требует от Канады арестовать активы Баратова: «Мерседес», «Астон Мартин» и счёт в системе PayPal. Также аресту подлежит PayPal-аккаунт Дмитрия Докучаева.

Из материалов дела непросто понять, почему американская пресса так настойчиво увязывает офицеров ФСБ со взломом Yahoo!. Есть очень сильное ощущение, что они эту историю выпячивают в заголовках, потому что их читателю взлом Yahoo! интересней слежки за какими-то там российскими госчиновниками, банкирами и оппозиционерами. Агентство Bloomberg в заголовке репортажа про Баратова поместило его at the Center of the Yahoo Hack, хотя в обвинительном заключении как раз ему-то никакие эпизоды, связанные с Yahoo, не инкриминируются. Если читать внимательно, то между нашумевшим «взломом Yahoo!», поставившим под сомнение даже сделку по продаже этого портала телекоммуникационному концерну Verizon, и действиями офицеров ФСБ причинно-следственная связь довольно косвенная. То есть ФСБ явно попаслась в ящиках абонентов Yahoo!, но нет уверенности, что базу изначально ломали за этим.

Начать с того, что взломов Yahoo! было не один, а два. Второй, в ходе которого оказались скомпрометированы 500 миллионов аккаунтов пользователей сервиса, случился, как нам рассказывают, в 2014 году. О нём сообщила сама администрация портала, и эта новость наделала много шума в сентябре 2016, за несколько месяцев до того, как тема «русских хакеров», работающих на государство, вообще начала раскручиваться в СМИ.

А был и другой взлом, более ранний и вдвое более серьёзный, предположительно — в 2013 году. О нём в августе 2016 года узнал и уведомил американские спецслужбы Андрей Комаров, специалист по разведке (Chief Intelligence Officer) из аризонской компании InfoArmor. Комаров отследил в даркнете непубличное предложение группы восточноевропейских хакеров, выставивших на продажу базу из 1 миллиарда адресов пользователей Yahoo!. За товар просили 300.000 долларов. Комарову удалось отследить три сделки с этой адресной базой. В двух случаях покупателями выступали известные спаммерские конторы. В третьем случае, судя по уточняющим вопросам к продавцу, базу купил представитель неустановленной разведслужбы, которого интересовала не возможность рассылать с её помощью спам, а содержание отдельных почтовых ящиков.

Каким-то способом Комарову удалось перехватить базу, выставленную на продажу, и он передал её американским силовикам, которые к ужасу своему обнаружили там адреса и пароли 150.000 госслужащих, включая сотрудников ФБР, ЦРУ, NSA и Белого дома. С этой информацией спецслужбы пришли в Yahoo! — и тут выяснилось, что корпорация сама не подозревала об этой масштабнейшей утечке персональных данных во всей мировой истории.

Узнав о взломе ещё в начале осени, представители Yahoo! не торопились объявлять о нём публично. Тогда Комаров сообщил о своих находках агентству Bloomberg и передал журналистам образцы данных из базы. В агентстве их проверили и обратились в Yahoo!. После этого корпорация публично признала и первый взлом, результатом которого стала утечка паролей от миллиарда ящиков, но от комментариев для Bloomberg отказалась, сославшись на то, что уже обсудила эту атаку с силовиками.

Так вот, судя по данным обвинительного заключения против Сущина, Докучаева, Белана и Баратова, «доступ к 500 миллионам ящиков на Yahoo!» они действительно получили, но базой этой не торговали, и в сами 500 миллионов аккаунтов не заглядывали (хоть и скачали какую-то часть общей базы паролей к себе). О первом взломе 2013 года в обвинительном заключении вообще не упоминается (хоть и нельзя исключить, что «восточноевропейская группа» — всё те же наши знакомые). И далеко не все действия обвиняемых, фигурирующие в обвинительном заключении, обязательно инициированы ФСБ.

По данным следствия, Алексей Белан не позже 2014 года поломал защиты Yahoo! и внедрился в почтовую систему портала на правах админа, преследуя свои собственные цели — преступные, но не шпионские. Выпуская фальшивые cookies от имени Yahoo!, он получил контроль над 30 миллионами ящиков, которые использовал для рассылки коммерческого спама. В отдельных ящиках он также искал номера кредитных карт и коды скидочных/подарочных сертификатов. Кроме того, Белан использовал свой административный доступ к серверам для перенаправления поискового траффика Yahoo! на сайт коммерческого рекламодателя (онлайн-фарма), который платил ему за переходы. Докучаев и Сущин могли знать об этой его деятельности, они могли даже быть там в доле, но это напрямую не связано с их службой в ФСБ.

По служебной линии господа офицеры с помощью Белана залезли примерно в 6500 почтовых ящиков из пользовательской базы Yahoo! для осуществления слежки за их владельцами. Достаточно одной этой цифры, чтобы понять, что круг лиц, за которыми осуществлялась слежка, был чрезвычайно широк. В обвинительном заключении (насчитывающем 47 эпизодов) нет имён, но приведены примеры, за кем следили: российские журналисты, чиновники и оппозиционные деятели, члены правительства и Совфеда, американские госчиновники, сотрудники интернет-компаний России и США, политики «соседнего с Россией государства», предприниматели, акционеры и менеджеры «российской финансовой корпорации» и т.п. В одном из потерпевших трудно не признать Аркадия Дворковича, хотя должность его названа в заключении довольно комично: «заместитель председателя Российской Федерации».

С этого места картинка становится уже трёхмерной, потому что мы тут можем сопоставить данные американского следствия с тем, что нам самим известно о деятельности «Шалтай-Болтая». Очевидно, за частью своих жертв группировка следила в рамках служебных обязанностей по линии ФСБ, а за другой частью — по коммерческому заказу, с оплатой в свой личный карман, с последующим шантажом фигурантов и (если не получали выкупа) выкладыванием переписки на вебе. Американским силовикам этих тонкостей, наверное, даже не объяснить. Но в руководстве ФБР были потрясены, когда осознали, что обвиняемые Докучаев и Сущин служили/служат ровно в том самом подразделении ФСБ, которое должно взаимодействовать с американскими кибер-полицейскими в деле розыска и поимки компьютерных преступников. В том самом отделе и департаменте, куда ФБР с 2012 года неоднократно обращалось за помощью в розыске Алексея Белана. Оказывается, он всё это время состоял у этих же чекистов на службе — и, вероятно, был первым читателем всей оперативной информации, которую ФБР про него накопало.

Вся эта история довольно увлекательна, а объём работы, проделанной американскими кибер-сыщиками, впечатляет. Особенно если сравнить их 39-страничный акт с российскими обвинительными заключениями, где сплошь и рядом действуют «неустановленные лица в неустановленном месте в неустановленное время», но при этом сочинители никогда не забудут упомянуть «имея преступный умысел на…», поскольку этот самый умысел должен быть позднее отражён в приговоре суда — даже когда речь идёт о лицах, оставшихся в итоге не установленными.

Но с другой стороны, неотвеченных вопросов после этого расследования остаётся довольно много, начиная со взлома Yahoo!. Заказала ли ФСБ этот взлом, чтобы получить доступ к тем самым 6500 ящикам, или воспользовалась удачным стечением обстоятельств, когда Белан взломал сервис для собственных нужд? И кто стоит за тем, другим взломом, после которого на продажу был выставлен миллиард паролей? «Восточноевропейская группа», которую отследил Комаров из InfoArmor — это те же наши знакомые из «Шалтая», или другая какая-то группа? А что за спецслужба купила у них базу, и зачем? И имеет ли вся эта история отношение к взлому серверов Демпартии? А к утечкам WikiLeaks?

Ну, и про «Шалтай» по-прежнему остаются все те же вопросы, не прояснённые с того дня, как мы впервые узнали об арестах участников группировки. Кто заказал им Дворковича? А Медведева? При чём тут вообще государственная измена? С кем они работали на Украине, и против кого? Возможно, как раз все те данные, которые нашли американские сыскари — про слежку за политиками и предпринимателями из «соседнего с Россией государства» — это ребята из «Шалтая» отрабатывали заказ одного украинского олигарха против другого. Предположение вполне логичное, но вряд ли оно в нынешних условиях облегчит их участь.

Comments

[maxim kononenko (from livejournal.com)]

а ты сам веришь в существование русских, у которых почта на яху?

[alex-kh-80.livejournal.com]

Ну я русский, почта на yahoo и чо?

[well-p.livejournal.com]

Сотрудник ФСБ Игорь Сущин, которого в США обвиняют во взломе аккаунтов Yahoo, работал в структурах инвестиционного банка «Ренессанс Капитал», принадлежащего миллиардеру Михаилу Прохорову. Об этом изданию «Коммерсантъ» рассказал источник на рынке информационной безопасности.
Как пишет «Коммерсантъ», в обвинительном заключении, опубликованном американским Минюстом, говорится, что Сущин был внедрен в инвестбанк в качестве «прикомандированного сотрудника». В апреле 2015-го он якобы поручил Дмитрию Докучаеву (сотрудник ФСБ, также обвиняемый во взломе Yahoo) получить доступ к аккаунтам Yahoo и Google одного из членов совета директоров финансовой организации, его супруги, секретаря и одного из высокопоставленных сотрудников. Сделать это удалось, в частности, благодаря фишинговым письмам, имитировавшим послания от Федеральной налоговой службы России.

[maxdz.livejournal.com]

Это нормально. Гугл начал открывать почтовые эккаунты для посторонних - где-то в середине 2000-х. А до этого, был яху - и у многих там эккаунты с тех пор.

[lexa.livejournal.com]

Вы серьезно? Сколько вы знаете "российских журналистов, оппозиционных деятелей, членов правительства и Совфеда", которые последние два года пользуются почтой на Yahoo?

Скорее всего, "Шалтай" использовал доступ в различные почтовые службы, включая Mail.ru (вот там действительно все российские чиновники и журналисты пасутся полным стадом). Просто для данной красивой публикации кто-то специально попросил Bloomberg написать про одну почтовую службу - и не писать про другие. Но если почитать другие новости - точно так же продаются базы с миллионами украденных аккаунтов всех крупных веб-почт.

[d0cta-gonz0.livejournal.com]

Нубляваще!
Интересное кино можно снять. Конечно, отразить местный девятиэтажный сюр в Голливуде не сумеют, отдадут нашим кинематографистам. Надеюсь, все скрепоносные радетели за народ к тому времени вымрут и разбегутся.

[sasha-byrynzylo.livejournal.com]

здравствуйте, Антон.
я пишу про то, что такое сообщество Анонимных Алкоголиков.
вот здесь:
https://www.facebook.com/profile.php?id=100013624423461
ничего на этом не выдрачиваю, просто помогаю людям понять, что АА- это во первых то, что действительно работает.
а во вторых почти наверняка не то, что люди о нём думают.
аудиторию, естественно, хочу охватить как можно большую.
если вы хотите помочь алкоголикам, которые пока ещё не анонимные -у вас есть прекрасная возможность.
спасибо, Антон.

[d0cta-gonz0.livejournal.com]

Я бы к вам пришёл, если бы вы были здесь, а ФБ это далеко.
К тому же, у вас только АА, а АН нету. И АН отдельно не катит, нужно вместе: отдельно никому не понять мою огромную светлую душу, которая так велика, что я сам иногда забредаю там в труднодоступные уголки и начинаю от страха дико орать сквернословия и богохульства.
Вот тогда вы охватите огромную аудиторию и будете знать, кто и что про кого думает.
Антон завязал ещё при царе Горохе, когда участкового пырнул заточкой в горло, на принудке в ЛТП лежал пару-тройку раз, сбегал оттуда к корешам в подвал, а когда Горби в перестройку порубал виноградники, то бухать завязал и начал клей нюхать.
Так что обстановка сложная, товарищ, взрывоопасная.

[sasha-byrynzylo.livejournal.com]

в ЖЖ я размещаю те же посты, что и в ФБ, только в ФБ там только про АА, больше ничего нет.
то, чьто Носик кого то пырнул в горло заточкой это, конечно , новость.
про сложность и взрывоопасность обстановки не понял почти совсем.
пьют и пили все время, эта обстановка не хуже и не лучше любой другой.
АН нету, да.
Бог миловал.

[d0cta-gonz0.livejournal.com]

Может, и не заточкой пырнул, а розочкой от портвейна Агдам. И не участкового, а соседа по лестничной клетке, в порядке пьяного дебоша, тскать, а участковому только лишь погоны оторвал, разжаловал, типа. Память-то, она, знаете ли, не лучше печени теперь. Но про печень лучше вообще даже не начинать... А жену соседа за волосы потаскать - милое дело ведь!
Конечно, Носег должен за всё ответить! Бох всё видит!

[mr-konstantinus.livejournal.com]

Такой бы талант и в мирное русло...

[4rex.livejournal.com]

фишинговые атаки это по вашему талант?
Бггг

[mephistus.livejournal.com]

Много успешных фишинговых атак организовал?

[4rex.livejournal.com]

кто спрашивает?

[mephistus.livejournal.com]

Куратор, лол.

[4rex.livejournal.com]

Тупой какой_то куратор, не знает чем подопечный занимается.

[mephistus.livejournal.com]

Кто ж вас, пиздоболов-школотронов разберет.

[4rex.livejournal.com]

это мы так маскируемся от любопытства всяких уебанов

[mephistus.livejournal.com]

Для маскировки, поди, талант нужен.

[4rex.livejournal.com]

Нужен, но для маскировки от уебанов можно и без него.

[katin-andrey.livejournal.com]

Трампу обрубают все возможности подружиться с Вовой. После всех этих обвинений он не сможет даже просто встретиться с Путиным. И теперь ему будут постоянно прилетать упрёки в излишней мягкости в отношениях с Россией. И над всем этим будет медленно таять в воздухе добродушная улыбка Обамы.

[hesh-ke.livejournal.com]

Почему Сущин Блондин, или у них на контрасте со своими неграми русый уже блондин?

[lortl.livejournal.com]

Русый оттенок - это разновидность тона блонд.

[aspartam74.livejournal.com]

В европе русый считается синонимом блондина

[hesh-ke.livejournal.com]

скоро будут оттенки чорного

[alejorojas.livejournal.com]

...в России их никогда не найдут (с)
...ну да, нашли, но кто ж их арестует, они уже давно не в России (с)
...ну да, арестовали, но правды мы все равно не узнаем! (с)

[well-p.livejournal.com]

Чувствую скоро работники спецслужб а также олигархи перейдут на обычные шариковые ручки и курьерскую почту.

[alex-kh-80.livejournal.com]

"Канадский хакер осуществлял точечные фишинговые атаки на указанные заказчиком адреса, выманивал пароли жертв и передавал их Докучаеву, получая от него по 100 долларов за каждый взломанный таким способом ящик. В общей сложности Баратов по заказу своих московских клиентов взломал 80 ящиков Gmail."

8000 - что-то смешная сумма для ипотеки и дорогих машин

[bangkok-shock.livejournal.com]

там заявлено, что он искал в чужих ящиках подарочные сертификаты итд. видимо в канаде на подарочные сертификаты можна прикупить мерс и астон мартин, ха-ха и дом в два этажа впридачу

[eugene katyukhin (from livejournal.com)]

Если йто он трижды продал базу Yahoo, то как раз хватит. И да, есть еще кредит. Под выплаченный дом хорошую линию дадут

[titi-caca.livejournal.com]

как-то все за уши притянуто от слова совсем, пока картинка такая - ФСБ-ники работали на ЦРУ, но попались на чем-то, и американцы их вот таким образом пытаются вызволить к себе. Почему двум спамерским контрам можно покупать хакнутые базы, а спец.службам низя? почему такая дискриминация? может занятие спамом для этих контор только прикрытие. Вообще из всего это видно, что затеяла всё это как раз вот это самая кампашка из аризоны - InfoArmor, она незаконно получила хакнтую базу( так же незаконно как 2 спамерские контроры и некие спец.службы), показала её амерским спец.службам, но главный их мотив был изначально - это скомпрометировать яху перед крупной сделкой, что они и сделали слив в конечном итоге информацию блубергу. Почему этой компании не выставлено никакого обвинения?

[dragonworldhero.livejournal.com]

+

[well-p.livejournal.com]

И то и другое и можно без хлеба. Просто все мутили свои игры, которые накладывались и пересекались друг с другом. Тут как бы у каждого будет своя правда.

[zejmianskij.livejournal.com]

Антон, это всего лишь Ваша версия. Лично я уверен, что в принципе всё может быть. Однако, вся жизнь борьба и оппонент тоже не дремлет. Просто методы наши на их фоне смотрятся топорными, да и рассматривают нас через увеличительное стекло. Между ними и нами, скажем в экономике или развитии гражданского общества, огромная пропасть. Но это наша с Вами страна...и мы 70 лет шли совсем в другую сторону. Вертикаль защищается как умеет. И всё же, страна не стоит в позе Сикорского...

[numerolog23.livejournal.com]

>«неустановленные лица в неустановленном месте в неустановленное время», но при этом сочинители никогда не забудут упомянуть «имея преступный умысел на…»,

одним словом Ихтамнет

А почему бы этих разыскиваемых лиц не пошукать в хатах Трампа во Флориде например, там говорят Кремль купил хат аж на цельных 100 млн долларов, ясно же не для простых рабочих и колхозников своей страны.

[ottonturk-g.livejournal.com]

пущай прячутся в рф и не высовываются.

[numerolog23.livejournal.com]

Небось наверно слыхали о встрече Меркель с Трампом, как все обсуждают какие коры там мочил Трамп



Хотя многие не подозревают что на самом деле происходит, кроме специалистов.

Трамп ведет себя как человек на предпоследней стадии старческого маразма, у них бывают такие провалы, они не совсем понимают, кто они, зачем они где то находятся, кто там рядом люди. Бьюсь об заклад, что Трамп не понимал кто такая Меркель, зачем она там кое то постороннее лицо и поэтому там была дочь Иванка Трамп, чтобы было для Трампа узнаваемое лицо и если что подстраховать во время маразматического приступа чтобы не произошло каких нибудь казусов.

Трампа многие в интернете сравнивают с непослушным ребенком, так ничего удивительного люди преклонного возраста страдающие старческим маразмом часто ведут себя как непослушные дети, это ни один специалист отрицать не будет, тысячи специалистов это подтвердят.

Если честно сочувствую Иванке, которая с болью видит отца в таком состоянии и что с ним происходит, для семей это большая трагедия.(

Похоже Трампа проводят с поста в связи с ухудшением здоровья.

По человечески жаль Трампа и его семью, но интересует вопрос, разве кандидатам в президенты не делают медицинское обследование, в том числе мозга ЭЭГ, МРТ?

[elhombresombro.livejournal.com]

Ничего не понятно.

[dmtrynvk.livejournal.com]

Yahoo хранили пароль в незашифрованом виде?
Иначе - как можно украсть пароль? Если пароль зашифрован с "солью" - украсть можно, но это ничего не дает.

[yrus.livejournal.com]

Если у тебя есть доступ к серверам, то можно перехватывать запросы/логи на этапе авторизации, например.

[dmtrynvk.livejournal.com]

Кто же в логах пароли пишет?!

Ну если иметь администраторский доступ - то можно просто устроить дамп памяти веб-сервера, да.
И вообще, можно все :)

[numerolog23.livejournal.com]

Из одного вашего предыдущего поста.)

>Но вот какого лапотного конспиролога ни возьми, всегда у них Англия — враг номер один.
Не французы, не немцы, не ляхи с литвой, не чингизиды, не турки, не даже евреи — англосаксы вне конкуренции по уровню батхерта, обид, злобы и напраслины, возводимой оракулами «русского мира» на один отдельно взятый заморский народ.

Наиболее активно беснования на эти темы происходят в так называемых передовых пропагандистских кремлевских СМИ, в комментариях кремлевских статей например RT, вам известно Антон что большинство комментариев строчат сотрудники этих самых кремлевских сми? Там у них не нужно логинится, можно так зайти и написать коммент, этим пользуются сотрудники этих сми, с одной стороны чтобы показать всему миру вот оно "мнение простого народа", а также показать якобы популярность за счет посещаемости этих сми, возможно для своих боссов, кураторов, а также рекламодателей.

Хотя огромное количество комментариев якобы простого народа, ваты, рядовых "кремлевских кибервойск" напоминают эпизод из мультфильма Маугли, там есть все из эпизода. "все плохие (пиндосы. гейропейцы, англосаксы, лягушатники, пшеки, кастрюльки - эмальки (кстати до сих пор не знаю чего обозначает) и в зависимости от ситуации китаезы. япошки. турки, при этом мы запутинцы самые великие, нам все джунгли завидуют, мы всех победим по крайней мере словесным поносом и прочее".))



Антон вы могли бы для своего СМИ Медуза взять одно полезную вещь. чтобы не надо было логинится для написания комментария.

[Тян из провинции (from livejournal.com)]

я им писала, что о них узнали много и интересно. Кто мог подумать, что шалтай закончит болтать в декабре.