Оригинал: Энди Гринберг, WIRED. Перевод для Local Crew — Егор М. Редактор — Женя Логинов.
Дисклеймер: Данный материал носит исключительно информационный характер и не является пропагандой наркотиков, употребление которых опасно для жизни. Все высказанные мысли принадлежат автору оригинального текста.
Это первый подробный рассказ полиции Нидерландов о том, как она тайно взяла под контроль «Ганзу» — самый популярный в Европе даркнет-рынок наркотиков (прим. ред.: Ганза — как Ганзейский торговый союз, а не форум любителей оружия).
Эта схема знакома тем, кто наблюдал за полицейской игрой в кошки-мышки на чёрных рынках даркнета. Контрабандный базар вроде «Силк роада» привлекает тысячи наркоторговцев и их клиентов — а также пристальное внимание со стороны полиции и спецслужб. Власти выслеживают его администраторов и в ходе масштабной операции закрывают сайт — только для того чтобы обнаружить, что покупатели и продавцы уже перебрались на следующую площадку. Собственно, падение того самого «Силк роада» и привело к небывалому прежде распространению новых даркнетовых магазинов.
Поэтому осенью 2016 года, когда голландская полиция вышла на след популярного маркетплейса «Ганза», она решила применить другой подход: не просто закрыть, а захватить.
В интервью WIRED в преддверии своего выступления на саммите аналитиков безопасности Лаборатории Касперского два сотрудника Национального подразделения по борьбе с высокотехнологичными преступлениями Нидерландов (NHTCU) подробно рассказали о своём десятимесячном расследовании деятельности «Ганзы». На пике активности 3600 дилеров на «Ганзе» предлагали более 24 000 видов наркотиков: от кокаина до МДМА. На этой площадке также приторговывали инструментами для мошенников и поддельными документами, но эта доля бизнеса была намного меньше. В ходе расследования деятельности данной зоны свободной торговли, получившего название «Операция Штык», голландские следователи не только выявили двух предполагаемых руководителей «Ганзы» в Германии, но и взломали их учётные записи, чтобы получить полный контроль над самим сайтом.
Сотрудники NHTCU объяснили, что в ходе работы под прикрытием они следили за покупателями и продавцами «Ганзы», незаметно изменяли код сайта, чтобы получить как можно больше данных для идентификации пользователей. Они даже заставили десятки анонимных дилеров запустить на своих компьютерах файл, раскрывающий их местоположение. По словам сотрудников, результатом этого полицейского переворота стал один из самых успешных ударов по даркнету за его короткую историю: конфискованы биткоины на миллионы долларов, проведены аресты ведущих наркодилеров сайта. Также силовики создали обширную базу данных о пользователях «Ганзы», которая, по их словам, должна вселить ужас в любого, кто покупал или продавал что-либо на сайте в последний месяц его работы.
«Когда закрывается теневой маркетплейс, все переходят на следующий. Это эффект игры в „ударь крота“», — говорит офицер Маринус Букело, участник «Операции Штык». По словам Букело, тайно захватив контроль над «Ганзой», а не просто отключив её от интернета, он и его коллеги стремились не только побольше узнать о ничего не подозревающих пользователях маркетплейса, но и подорвать доверие к нелегальной торговле в даркнете в целом.
Хотя захват площадки частично осуществлялся при тесном сотрудничестве американских и немецких правоохранительных органов, — ни Министерство юстиции США, ни Федеральное управление уголовной полиции Германии не ответили на просьбу WIRED прокомментировать свою деятельность. Из-за этого мы вынуждены оставить некоторые элементы рассказа NHTCU без независимого подтверждения. Ниже мы приводим откровенное описание голландской полицией своего опыта расследования (и управления!) одной из крупнейших в мире онлайн-операций по торговле наркотиками.
Берём след
Несмотря на крутые повороты событий, о которых вам предстоит прочесть далее, расследование дела «Ганзы» началось вполне традиционно — с наводки. Сотрудники голландской компании по информационной безопасности обнаружили в дата-центре местного веб-хостера сервер, в котором заподозрили «ганзейский». По словам Букело, эта ИБ-компания каким-то образом обнаружила не что-нибудь, а сервер разработки «Ганзы». На нём крутилась версия сайта, на которой тестировали новые функции перед их внедрением в продакшен — на рабочую версию. Основной сайт «Ганзы» был защищён через «Тор», но тестовый сервер каким-то образом оказался в открытом доступе в клирнете (прим. пер.: это обычный, общедоступный интернет). Обнаружив его, безопасники тут же зафиксировали IP-адрес.
Голландская полиция оперативно связалась с веб-хостингом, потребовала доступа к дата-центру и установила оборудование для мониторинга сети, позволяющее отслеживать весь трафик злополучного сервера. Незамедлительно обнаружилось, что сервер разработки подключался к защищённому тор-серверу, расположенному там же, где работал основной сайт «Ганзы», а также к паре серверов в другом дата-центре в Германии. Полицейские сделали бэкапы каждого сервера, включая записи всех транзакций за всю историю «Ганзы», и всех диалогов, происходивших в анонимных чатах.
Но даже эта масштабная дыра в безопасности не должна была раскрыть личности поставщиков или администраторов сайта, поскольку и те, и другие использовали псевдонимы, а сеть «Тор» анонимизировала их подключение к сайтам (прим. ред.: хотя «Тор» обеспечивает высокую степень приватности, он не гарантирует абсолютной анонимности; известны случаи, когда спецслужбы вычисляли пользователей с помощью анализа трафика и уязвимостей в софте).
После тщательного изучения содержимого серверов полиция обнаружила серьёзную операционную ошибку: на одном из немецких серверов хранились чаты двух предполагаемых основателей «Ганзы» в устаревшем протоколе обмена сообщениями IRC. Переписка длилась несколько лет, и, что удивительно, в ней упоминались полные имена обоих администраторов и даже домашний адрес одного из них.
Ставим капкан
Как выяснили голландские полицейские, двое предполагаемых администраторов «Ганзы» находились в Германии. Один в Зигене, другой в Кёльне. Но когда NHTCU связалась с немецкими властями и попросила об их аресте и экстрадиции подозреваемых, то обнаружилось, что эта пара уже находится в поле зрения немецкой полиции и проходит по делу о создании Lul.to — сайта, продающего пиратские книги.
Наличие готового дела на подозреваемых натолкнуло голландских следователей на идею — использовать немецкое расследование в качестве прикрытия для своей собственной операции. План был таков: немцы задерживают подозреваемых за книжное пиратство, а затем голландцы тайно перехватывают контроль над «Ганзой», не спугивая её пользователей. «Мы пришли к этому плану, потому что поняли, что сможем использовать арест в своих целях», — говорит Герт Рас, глава NHTCU. «Нам нужно было избавиться от настоящих администраторов, чтобы самим стать ими».
Однако, как только тщательно продуманная ловушка NHTCU была готова захлопнуться, все пошло наперекосяк. Серверы «Ганзы», которые стали целью рейда, внезапно замолчали. Рас и Букело подозревают, что процесс копирования данных, начатый полицией, насторожил администраторов. Поэтому те перенесли маркетплейс, запутав следы в анонимных цепочках «Тора». «Это был очень неудачный поворот событий», — говорит Рас.
Даже после этого голландские полицейские могли просто смириться с потерями и попросить немцев арестовать администраторов «Ганзы». Вероятно, им бы удалось использовать те данные, которые они уже получили, чтобы найти серверы сайта и отключить их. Тем не менее они были полны решимости придерживаться оригинального плана скрытого захвата. Следующие месяцы офицеры провели, изучая улики в попытках снова найти серверы «Ганзы» и незаметно захватить их. Наконец, в апреле 2017 года удача улыбнулась им ещё раз: предполагаемые администраторы совершили платёж в биткоинах с адреса, указанного в тех самых логах IRC-чатов, которые ранее попали в руки следствия. Используя программу для анализа блокчейна Chainalysis, полицейские установили, что платёж был отправлен оператору биткоин-платежей с офисом в Нидерландах. Когда этой компании направили официальное требование предоставить дополнительную информацию, она идентифицировала получателя транзакции как другую хостинг-компанию — на этот раз в Литве.
Двоих одним выстрелом
Вскоре после того, как NHTCU установила новое местоположение серверов, стало известно об ещё одном неожиданном открытии. С голландцами связалось ФБР и сообщило, что его агенты обнаружили в Нидерландах один из серверов AlphaBay — самого популярного на тот момент в мире рынка наркотиков в даркнете, намного крупнее «Ганзы». Американские следователи были уже близки к цели и собирались закрыть площадку в то же время, когда голландцы планировали захватить «Ганзу».
Голландское следствие сообразило, что после закрытия AlphaBay его пользователи начнут искать новый рынок. Если план по перехвату серверов сработает, то пользователи AlphaBay хлынут на «Ганзу», которая к тому моменту уже будет тайно находиться под контролем полиции. «Мы бы получили не только эффект подрыва доверия к даркнет-рынкам, но и приток людей», — говорит Рас. По его словам, это дало бы полицейским возможность следить за гораздо большей долей экономики даркнета и внушить пользователям ощущение, что им негде спрятаться. Даже бегство на другую площадку не позволит им избежать внимания правоохранительных органов.
Собрав все элементы плана захвата, голландская полиция воспользовалась договором о взаимной правовой помощи между двумя странами и направила двух своих агентов в литовский дата-центр.
20 июня немецкая полиция ворвалась в дома двоих подозреваемых, проживающих в Зигене и Кёльне, арестовала их и изъяла их компьютеры, жёсткие диски которых оказались не зашифрованы. Затем немцы подали сигнал голландской полиции, и та немедленно начала перенос всех данных «Ганзы» на новые серверы, находящиеся под их полным контролем.
«Мы скоординировали свои действия с немцами так, чтобы, как только они ворвутся в дома подозреваемых, — мы немедленно приступили к работе», — комментирует Букело. «Мы хотели, чтобы сайт ни секунды не простаивал, лишившись хозяев».
В ходе допроса в немецкой тюрьме арестованные передали учётные данные всех своих аккаунтов, включая систему чатов «Токс», которую они использовали для общения с четырьмя модераторами сайта. Спустя три дня «Ганза» полностью переместилась в Нидерланды и оказалась под контролем местной полиции. Ни пользователи, ни даже модераторы, похоже, не заметили изменений.
Тотальный контроль
В течение следующего месяца голландская полиция использовала своё положение на вершине крупнейшего в Европе рынка даркнета, чтобы вести агрессивное наблюдение за его посетителями. Программисты в погонах переписали код таким образом, чтобы он регистрировал пароли каждого пользователя, а не просто хранил их в виде зашифрованных хешей. Также они изменили функцию, предназначенную для автоматического шифрования сообщений с помощью PGP-ключей пользователей. Теперь она тайно сохраняла полный текст каждого сообщения, что позволило получать домашние адреса множества покупателей, когда те отправляли информацию драгдилерам. Прежний сайт был настроен на автоматическое удаление метаданных с фотографий товаров, загруженных на сайт. Копы изменили и эту функцию таким образом, чтобы она копировала оригинальный файл изображения с нетронутыми метаданными. Это позволило им получать данные геолокации с фотографий, которые продавцы делали для наводки на закладку.
Полиция в конце концов настолько обнаглела, что инсценировала сбой серверов, из-за которого с сайта пропали все изображения. Тем самым продавцов вынудили загрузить фотографии заново, что дало голландским властям ещё один шанс получить метаданные. Эта уловка позволила выявить геолокацию полусотни драгдилеров.
Возможно, самым агрессивным из всех ходов NHTCU стало то, как они обманом заставили пользователей загрузить и запустить IP-трекеры. «Ганза» предоставляла продавцам файл, который должен был служить резервным ключом, позволяющим им получить свою оплату в биткоинах — даже если сайты перестанут работать. Полицейские подменили его. Когда продавец открывал файл, его устройство подключалось к уникальному URL-адресу, раскрывая его настоящий IP-адрес полиции. Букело говорит, что в эту ловушку попались 64 продавца.
На протяжении всей этой обманной кампании «Ганза» процветала под тайным контролем NHTCU. По словам Раса и Букело, агенты под прикрытием достаточно долго изучали переписки настоящих администраторов с модераторами и пользователями сайта, чтобы убедительно выдать себя за них. Фактически целая команда офицеров по очереди выдавала себя за двух администраторов. Когда споры между покупателями и продавцами выходили за рамки модераторских полномочий, агенты под прикрытием решали их даже эффективнее, чем настоящие прежние администраторы. «Качество действительно повысилось», — усмехается Рас. «Все были очень довольны уровнем обслуживания».
Капкан захлопывается
Компетентность нового персонала сделала «Ганзу» естественным местом миграции продавцов — а за ними и покупателей, когда AlphaBay внезапно прекратил своё существование. Каждый день аудитория «Ганзы» росла в среднем на 5000 человек, что в восемь раз превышало обычное число регистраций. Все новички немедленно попадали под наблюдение полиции.
Через неделю после того, как AlphaBay отключили, газета «Уолл-стрит-джорнал» сообщила, что его серверы были изъяты в ходе рейда правоохранительных органов и что его основатель, канадец Александр Казес, по-видимому, покончил жизнь самоубийством в тайской тюрьме. Эта новость посеяла хаос в наркосообществе даркнета. В результате поток беженцев с AlphaBay стал настолько большим, что NHTCU приостановила регистрацию новых пользователей на десять дней. Это сделали потому, что по закону полиция была обязана отслеживать и сообщать Европолу о каждой транзакции, происходящей на сайте под их контролем. С учётом примерно 1000 незаконных транзакций, происходящих ежедневно под их наблюдением, объём документации стал непосильным для штата.
За время работы в качестве администраторов чёрного рынка голландские копы запретили на «Ганзе» продажу всего одного товара: это был крайне опасный опиоид фентанил. Остальные наркотики продолжали свободно продаваться, и Рас с Букело, похоже, совершенно не испытывают по этому поводу угрызений совести. «Так или иначе, дилеры всё равно сбыли бы свой товар», — без колебаний говорит Рас, — «просто на другом рынке».
Однако спустя месяц и 27 000 транзакций NHTCU решила захлопнуть свой гроссбух. Она отключила «Ганзу», заменив сайт заглушкой с официальным уведомлением об изъятии серверов и ссылкой на собственный сайт NHTCU в сети «Тор», на котором был опубликован список покупателей и продавцов, которых удалось идентифицировать и арестовать. «Мы отслеживаем людей, которые активно работают на тёмных рынках и предлагают незаконные товары или услуги», — говорилось в сообщении. «Вы один из них? Значит, мы наблюдаем за вами».
Осадочек
В результате захвата «Ганзы» голландская полиция получила реальный результат. Ей удалось собрать данные как минимум о 420 000 пользователей. Европолу передали 10 000 домашних адресов, которые тот распространил среди других полицейских ведомств Европы и мира. У «Ганзы» изъяли 1200 биткоинов, что по сегодняшнему курсу составляет 8 миллиардов рублей. Поскольку «Ганза» использовала защитную функцию транзакций биткоина с мультиподписью, конфискация стала возможной только потому, что NHTCU захватила сайт и саботировала его код, так что в последний месяц работы «Ганзы» в сети она не работала и переводы стали прозрачны.
Голландская полиция заявляет, что также провела 50 «воспитательных бесед» — личных визитов в дома покупателей, чтобы сообщить им, что их личности были раскрыты по покупкам наркотиков в даркнете. При этом, по их словам, был арестован только один крупный покупатель. «Мы хотим, чтобы люди были в курсе, — говорит Рас. — У нас есть данные. Они при нас и никуда не денутся».
Что касается влияния операции на наркоторговлю в целом, полиция ссылается на исследование Нидерландской организации прикладных научных исследований, которое показало, что захват «Ганзы» дал кардинально иные результаты по сравнению с предыдущими операциями в даркнете. Большинство продавцов-мигрантов с AlphaBay вскоре появились на других наркосайтах. Напротив, те, кто сбежал с захваченной «Ганзы», этого не сделали — а если они и всплыли снова на других площадках, то должны были настолько тщательно воссоздать свои онлайн-личности, что их не узнали. «По сравнению с операциями по пресечению деятельности „Силк роада“ или даже AlphaBay, закрытие „Ганзы“ выделяется как более успешное», — говорится в отчёте исследователей. «Здесь мы наблюдаем кардинально новый подход к делу».
Впрочем, другие исследователи даркнета не так уверены в этой операции. Николас Кристин, учёный из Университета Карнеги — Меллона, говорит, что трудно оценить долгосрочное влияние „ганзейского“ рейда, поскольку покупатели и продавцы наркотиков по-прежнему стекаются на альтернативные сайты, такие как Dream Market — новый ведущий маркетплейс для продажи наркотиков в даркнете. Некоторые продавцы даже создают свои собственные мини-наркомаркеты. «Я думаю, что в краткосрочной перспективе это вызвало большое потрясение», — говорит Кристин. «Сохранится ли эффект надолго, право сказать, не знаю».
Что касается самих пользователей «Ганзы», мнения разделились. «Похоже, я на какое-то время останусь чистым. Не доверяю никаким рынкам», — написал один пользователь на Реддите, посвященном даркнету, в день объявления о закрытии «Ганзы».
Некоторые настаивали на том, что даркнет восстановится, даже после такой изощрённой операции по вторжению. «Все устаканится, так всегда происходит», — пишет аноним.
«Великая игра в „ударь крота“ никогда не заканчивается».
