«Газета.Ru» провела собственное расследование, как группировка «Анонимный интернационал», известная также как «Шалтай-Болтай», могла получить доступ к устройствам, якобы принадлежащим высокопоставленным российским чиновникам, кто из влиятельных сил может стоять за ее деятельностью и почему до сих пор не возбуждены уголовные дела по фактам взломов.

Примерно за 16 месяцев существования «Анонимный интернационал» стал, пожалуй, самой известной группой в современной России, специализирующейся на «сливах» по высшим чиновникам. Они выкладывали переписку, якобы принадлежавшую вице-премьеру Аркадию Дворковичу, кремлевскому шеф-повару Евгению Пригожину, взламывали твиттер-аккаунт премьера Дмитрия Медведева и выставляли на аукцион якобы переписку его пресс-секретаря Натальи Тимаковой и главы Роскомнадзора Александра Жарова.

В последние месяцы главной целью атак группировки стали управление внутренней политики президента и лично заместитель его руководителя Тимур Прокопенко: переписка за период с 2011 года, якобы принадлежащая ему, выложена для публичного доступа.

«Мы собирались выставить на продажу оригинальные массивы Прокопенко <...> Все файлы, которые он рассылал в «Телеграмме» и других мессенджерах, заметки, прикрепленные файлы к SMS-переписке, журнал его звонков, телефонная книга. Не отштрихованные нами номера телефонов, в конце концов. Видео, фото, звонки», — заявили в «Интернационале» «Газете.Ru». Группировка уверяет, что выбрала своей целью Прокопенко, поскольку считает его главным ответственным в администрации за контроль над СМИ и интернетом.

Кроме того, активисты пообещали в ближайшее время обнародовать очередные массивы переписки еще нескольких чиновников.

Правда, по непонятной причине «Анонимный интернационал» не захотел поделиться с гражданами перепиской заместителя главы УВП с января 2013 по январь 2014 года. Пробелы также имеются с 11 ноября 2011 по 3 декабря 2011 года и с 22 декабря 2011 по 10 января 2012 года.

«Мы дали массивы в том виде, в котором скачали с устройств. Если там нет каких-то периодов, то либо Тимур Прокопенко их не сохранял, либо пользовался другими устройствами. Соответственно, мы не фильтровали массив. Дали все как есть», — уверяют «Газету.Ru» сами активисты «Интернационала».

Фишинг и другие орудия взлома

Регулярное обнародование конфиденциальной переписки высших чиновников ставит вопрос о хакерских способностях «Шалтая-Болтая». Если предположить, что устройства действительно «ломали», а не просто выкрадывали, то можно смоделировать сценарий подобного взлома извне.

Независимый эксперт, хорошо знакомый с сообществом хакеров, на условиях анонимности согласился рассказать «Газете.Ru» наиболее вероятные пути взлома SMS и Telegram.

Собеседник «Газеты.Ru» отмечает, что эта задача сложнее, чем взлом твиттера Медведева, но при этом не требует высокого уровня владения навыками взлома. Массив сообщений SMS и Telegram у пользователей iPhone хранится в iСloud. По нашим сведениям, Прокопенко был обладателем «яблочного» смартфона.

Получить доступ к аккаунту облачного сервиса проще всего через почту, к которой он привязан. Эксперт называет два самых простых способа, один из которых, вероятно, и был использован.

Первый — фишинг. Нужно сделать так, чтобы «жертва» открыла ссылку, после перехода по которой ее браузер окажется под воздействием вредоносных скриптов. А из переписки, якобы принадлежащей Тимуру Прокопенко, видно, что ему по работе приходилось просматривать большое количество ссылок.

Чтобы письмо со ссылкой не вызвало подозрений, оно должно быть отправлено с адреса электронной почты, знакомой жертве хакеров. В интернете можно легко найти сайты, предлагающие отправить любое письмо любому адресату, замаскировавшись под любой знакомый адрес.

Через ссылку, которой воспользуется пользователь, можно заслать троян или кейлоггер. Эти программы дают возможность взломщику получить пароль от почты жертвы. Компьютер с операционной системой Windows уязвим для такого софта.

Правда, такой вариант не сработает, если открывать ссылку через iPhone, но и в этом случае можно сделать так, чтобы устройство «поделилось» почтовой сессией пользователя, то есть доступом к письмам на сайте почты.

«Допустим, «жертве» приходит письмо от знакомого товарища, который предлагает «заценить» коллаж. «Жертва» переходит по ссылке, действительно видит фото и не подозревает, что в этот момент злоумышленник вошел и в его почту», — объясняет наиболее простой технический вариант специалист.

Также можно переслать ссылку, которая предложит пользователю ввести логин и пароль своей электронной почты. Может показаться, что подобный «дедовский» прием больше не работает, но собеседник «Газеты.Ru» объясняет, что не все так банально и есть довольно хитрые способы провернуть такую операцию:

«Например, можно заслать клон страницы твиттер. Человек хочет откомментировать фотку и вводит логин с паролем».

По словам эксперта, есть и другой способ — немногим сложнее, чем вышеописанный. Для этого нужно специальное устройство или программное обеспечение, называемое сниффером (анализатор трафика). Для его использования достаточно находиться с «жертвой» в одном публичном Wi-Fi. Устройство позволяет перехватить и расшифровать пакеты, исходящие от другого компьютера.

В самом «Интернационале» ранее говорили, что их люди могли следить за жертвами, находясь с ними в одном кафе: «Может, наш агент подошла к Тимуру на попойке нашистов и слила инфу с его телефона. Такая версия не рассматривается?»

После получения входа в почту можно переходить к iCloud пользователя. Получить к нему доступ возможно через обычную процедуру восстановления пароля по электронной почте. В качестве логина используется почта, доступ к которой уже получен, а дальше нужно просто дождаться письма со ссылкой для смены пароля.

«Это не считается взломом, скорее социальной инженерией. Ты получаешь данные, используя логику, а не сложные навыки программиста», — объясняет тонкую разницу эксперт.

«После того как хакер заменит пароль на iCloud, телефон жертвы перестает синхронизироваться с этим сервисом. Он не может в него войти. Через несколько секунд приходит понимание того, что его взломали. Или не приходит…» — реконструирует схему собеседник «Газеты.Ru».

Он также допускает вариант, что злоумышленники смогли ответить на секретные вопросы сервиса. Эта схема восстановления пароля часто используется забывчивыми пользователями.

Эксперт подчеркивает, что использование подобных способов для получения доступа к почте или iCloud не считается «высшим пилотажем» в мире хакеров: «Все это довольно банальные вещи, которыми владеют многие увлекающиеся пользователи».

«Не важно, насколько пользователь высокопоставлен. Пока он пользуется общедоступными сервисами, он подвержен всем их уязвимостям, как и все другие «обычные» пользователи», — рассказывает эксперт. По его мнению, чем больше человек вынужден общаться через почту и аккаунты в соцсетях, тем более вероятен риск того, что когда-нибудь его взломают.

Добавим также, что аккаунты кремлевского чиновника могли быть взломаны с помощью специальных программ, работающих методом подбора. «Кстати, у людей часто одни и те же пароли к аккаунтам в соцсетях, почте и т.д. Порой достаточно получить доступ к чему-то одному», — замечает напоследок специалист.

Все это означает, что «Шалтай-Болтай» вовсе не обязательно является профессионалом-хакером. Более того, собеседник издания даже сомневается в этом.

По его словам, сообщество серьезных взломщиков в России весьма закрыто и в нем о «Болтае» даже не знают. К тому же не в правилах «серьезных хакеров» активно использовать твиттер и другие социальные сети. Это уровень хакера Хэлла, который прославился тем, что взламывал почту Алексея Навального и других оппозиционеров. Критики Хэлла считали, что за его фигурой стоят российские силовики, искавшие компромат на оппонентов власти, поэтому Хэлла никогда не преследовали органы.

«Настоящие хакеры ищут серьезные уязвимости в сложных системах. Они могут зарабатывать деньги, помогая крупным компаниям ликвидировать их», — акцентирует внимание эксперт.

Антивирусный эксперт «Лаборатории Касперского» Денис Легезо и ведущий вирусный аналитик ESET Russia Артем Баранов в комментариях «Газете.Ru» о возможностях взлома почты и iCloud сделали предположения, аналогичные версиям эксперта, пожелавшего остаться анонимным.

«Способы сильно разнятся. От установленных на машинах «жертв» и записывающих нажатия клавиш кейлоггеров до таких методов социальной инженерии, как письма якобы от службы технической поддержки с просьбой сменить пароль», — рассказывает Легезо.

По его словам, устройства Apple сейчас лучше защищены из-за меньшей свободы действий, предоставляемой разработчикам и пользователям. Но Apple ID по-прежнему можно украсть через взлом почты с помощью фишинговых сайтов и т.п.

«Для кражи данных с мобильных устройств используется вредоносное ПО, причем зачастую пользователь устанавливает его на смартфон сам. Злоумышленники распространяют такие программы под видом легальных приложений на сторонних веб-площадках. Еще одна схема заражения — фишинговые SMS или сообщения в мессенджере, содержащие ссылки на установку вредоносного ПО», — рассуждает Баранов.

iPhone защищен от вредоносного ПО, только если на нем не проводилась операция Jailbreak, объясняет Баранов. Эта операция позволяет устанавливать на iPhone нелицензионные приложения, однако она же дает возможность хакерам установить на смартфон вредоносное ПО.

Сами представители «Анонимного интернационала» категорически отрицают использование фишинга. «Это уже несколько лет не работает, если вы не тупой совсем уж человек», — заявили они «Газете.Ru».

«Звездные войны»

Между тем помимо базовых технологических знаний о взломе представители «Анонимного интернационала» имеют представление о работе администрации президента. Их понимание ситуации подтверждается «сливами» и интервью, в которых «Интернационал» демонстрирует неплохое понимание внутрикремлевских раскладов, от внутренних аббревиатур, применяемых к тому или иному чиновнику, до знания функционала ряда закрытых сотрудников, даже имена которых редко попадают в СМИ.

Неудивительно, что в связи с этим версия про «Интернационал», расположившийся внутри «башен» Кремля, всплывает регулярно.

«В одном архитектурно-историческом ансамбле, расположенном рядом с Красной площадью, очень много башен со звездами, каждая из которых решает свою задачу, в число которых, безусловно, входит не допустить чрезмерного усиления других башен. Но цель в любом случае достаточно очевидна — [первый замглавы администрации президента Вячеслав] Володин и его ближайшее окружение», — высказывает «кремлевскую версию», как и многие в политологическом сообществе, Петр Быстров, член правления Российской ассоциации политических консультантов.

На вопрос, имеются ли на рынке технически подкованные команды, которые могут работать по целям такого уровня, Быстров сомневается, что на такое способен кто-то помимо специалистов с опытом службы в ФАПСИ (Федеральное агентство правительственной связи и информации, во время первого срока Владимира Путина интегрировано в ФСО).

Другой политтехнолог на условиях анонимности выдвинул такую версию. Он полагает, что за «Интернационалом» стоят недоброжелатели Володина на уровне первых лиц в администрации президента с сильным влиянием на спецслужбы:

«Нет открытого рынка такого рода команд и услуг. Тут либо какая-то спецслужба целиком делала, либо кто-то из спецслужб привлек хакеров. Политтехнологи из более-менее известных в своей среде максимум могут предложить, но реализовывать такой проект никто не возьмется».

Ранее источник «Газеты.Ru» в кабмине обращал внимание, что «Шалтай» взламывал почту Натальи Тимаковой на закрытом домене gov.ru, который обслуживает ФСО. Соответственно, можно предположить, что либо почта не защищена должным образом, либо те, кто обеспечивает ее техническую защиту, и есть «Шалтай-Болтай», делал вывод собеседник «Газеты.Ru».

При этом версию о причастности действующих кремлевских чиновников другой собеседник во властных структурах называет «фантастической», мотивируя тем, что участие действующих «кремлевцев» в подобных делах — это нарушение всех мыслимых и немыслимых правил игры.

Правда, руководитель Политической экспертной группы Константин Калачев также считает, что удар по Прокопенко получился «неоднозначный». С одной стороны, публикация переписки нанесла урон его имиджу, с другой — претензий к его работе по логике начальства быть не должно: «Все теперь знают о его работоспособности. Такими людьми не разбрасываются».

По словам главы ассоциации правозащитных организаций «Агора» Павла Чикова в колонке для издания «Медуза», опубликованные материалы о чиновнике оказались «чистыми» с юридической точки зрения.

Обиженные воду возят

Высокопоставленный источник «Газеты.Ru» во властных структурах считает, что за «Шалтаем-Болтаем» стоят так называемые обиженные — люди, которые либо работали в администрации президента, либо тесно с ней взаимодействовали, но по тем или иным причинам остались не у дел.

«Отдельные ремарки, которые «Шалтай-Болтай» пишет к своим «сливам», свидетельствуют, что эти люди хорошо знают систему изнутри», — подчеркивает собеседник.

Интересно, что схожая ситуация со взломом ящиков чиновников сложилась на рубеже 2011–2012 годов. В то время Владислава Суркова на посту куратора внутриполитического направления администрации президента сменил Вячеслав Володин. Одновременно в сеть вбрасывалась взломанная почта тогдашнего главы Росмолодежи Василия Якеменко и его пресс-секретаря Кристины Потупчик.

В переписке фигурировали имена известных блогеров, которым якобы платили деньги за размещение постов политико-общественной направленности. Хакеры, фигурировавшие в этом эпизоде, выдавали себя за российское подразделение хакерской группировки Anonymous. Само по себе это ничего не значило: группировка не имеет какой-то оргструктуры, и за ее брендом мог прятаться кто угодно.

По словам анонимного эксперта «Газеты.Ru», знакомого с событиями того времени, после взлома почты Василия Якеменко и Кристины Потупчик им предлагалось за определенную сумму убрать из публикации какую-то информацию.

Одна из важных черт, которая отличает «Интернационал» от Хэлла и «анонимусов» образца 2012 года, — продвинутая медийная стратегия «Шалтая-Болтая». «Интернационал» подчеркивает свою независимость от Кремля, зеркально обвиняя всех подозревающих группировку в связях со спецслужбами и администрацией в сговоре с властями.

Между тем высокопоставленный источник «Газеты.Ru» полагает, что в группу людей, именующих себя «Шалтаем-Болтаем», входят бывшие сотрудники администрации, специалисты в сфере IT-технологий и политтехнологи. По его мнению, в деятельности группировки значительную роль играет коммерческая составляющая.

В частности, утверждает источник, ряд материалов «Шалтай-Болтай» не только выставляет на торги в открытую, как это было с электронной перепиской пресс-секретаря Медведева Натальи Тимаковой, но и предлагает выкупить «жертвам» в непубличном порядке.

Стоимость выкупа составляет несколько десятков тысяч долларов. Так, по словам собеседника, было с одним из его знакомых. После того как тот отказался выкупить касающиеся его материалы, опасаясь, что в будущем этот факт может сыграть против него, они были выложены в открытый доступ.

Впрочем, и сам «Интернационал» прямо говорит о своих коммерческих целях. «Почему-то все думают, что мы чей-то проект и у нас все хорошо с деньгами <...> Имеющую общественный интерес часть публикуем. Но у нас есть ряд проектов, которые не касаются политики, где у нас бывают заказчики. Кушать-то нам иногда надо. Билеты на самолет покупать, коммуналку платить, пластические операции недешевы», — комментируют Шалтай и Болтай.

Кстати, один из последних «сливов» имеет явно коммерческий характер, поскольку посвящен переговорам крупнейшего банка Крыма РНКБ с Банком Москвы по вопросам операционной деятельности. Там фигурирует уже не просто взломанная переписка, а «слитые» телефонные прослушки.

Между тем, по словам самих активистов, в верхах действительно не знают, кто скрывается за «Интернационалом», и в своих ответных «открытках» «бьют по площадям».

Одной из таких «открыток» можно считать пост члена координационного совета «Молодой гвардии «Единой России» (Тимур Прокопенко — бывший лидер МГЕР) Ирины Володченко.

7 апреля, после очередного обнародования массивов с перепиской Прокопенко, в посте в Facebook «Атака на Кремль, или Последний вздох Шалтая-Болтая» Володченко заявила: «Очевидно, что «Болтай» работает на того, кто не всплывает в их разоблачениях, а активизировалась группа потому, что вновь оживилась борьба за АП, что дает шансы тем, кто уже почти потерял влияние в аппарате и хочет его восполнить. А так называемая старая «новая сила» все еще грезит о замене лидера и полном переформатировании политической системы».

Экзотическую версию о координаторах группировки «Газете.Ru» озвучил источник, близкий к Кремлю.

«Это Медведев. Вернее, занимается всем этим не сам он, а близкие ему люди», — уверенно заявил собеседник, подчеркнув, что обладает информацией, которая дает ему основания для подобных утверждений. Однако саму эту информацию источник раскрыть отказался.

По его словам, история со взломом твиттера премьера и прочие случаи, касающиеся его окружения, — это уловки исключительно для отвода глаз. «Нанести ущерб самому себе, чтобы на тебя никто не подумал. Тем более что реального ущерба и не было», — уверяет источник.

На вопрос, зачем все это Медведеву, источник отвечает: «Мелкая месть разным недоброжелателям. Именно мелкая. Обратите внимание, что по-настоящему скандальных утечек там не было».

Почему «мелкая месть» понадобилась именно премьер-министру, а не кому-то еще, источник не объясняет.

Оргвыводы последовали

Между тем появление в открытом доступе содержимого якобы гаджетов Прокопенко, по данным источников «Газеты.Ru», послужило причиной перестановок в УВП в декабре прошлого года, говорят знакомые с ситуацией источники «Газеты.Ru». Тогда, сохранив статус замначальника управления, он был переведен на другое поле деятельности — кураторство партий и ОНФ.

Впрочем, перемещение Прокопенко можно расценивать двояко. С одной стороны, это поражение чиновника, поскольку переброска его на новое поле деятельности была вынужденным шагом. С другой — Прокопенко не только не понизили в должности, но и наделили мощными полномочиями: именно он будет отвечать за федеральные избирательные кампании в период приближающихся выборов.

Тем не менее сам факт появления в открытом доступе конфиденциальных данных сопровождался, по информации «Газеты.Ru», серьезным разговором в УВП. Как ранее рассказывали источники, сотрудникам УВП и управления по общественным проектам в конце декабря 2014 года даже прочитали лекцию, как максимально обезопасить свои гаджеты от взлома.

Одно из предостережений, в частности, касалось фишинга. Лекцию, по словам нескольких источников «Газеты.Ru», читал бывший руководитель секретариата Володина, ныне член ЦИК Антон Лопатин. «Это был тот случай, когда все слушали очень внимательно», — рассказывал один из собеседников.

В Центризбиркоме Лопатин отвечает за систему «ГАС-Выборы». Он разбирается в IT-технологиях, видимо, именно этим фактом и объяснялось его привлечение в качестве лектора.

Сам Лопатин в беседе с «Газетой.Ru» опровергал информацию о том, что обучал чиновников Кремля.

Взломали взломщиков

После последних взломов устройств Прокопенко внезапно выяснилось, что очередной жертвой взлома могла стать сама группировка. 7 апреля журналист Олег Кашин процитировал у себя в фейсбуке письмо, в котором ему предлагали выкупить переписку уже самого «Интернационала».

«У меня есть коммерческое предложение. Продаю массив почты «Анонимного интернационала» (взломал их почту). Там очень много интересного и неожиданные контакты. Стоимость — 300 биткоинов. Доказательства наличия массива перешлю, если есть интерес. Готов к диалогу», — процитировал Кашин.

Корреспондент «Газеты.Ru» связался с двумя продавцами якобы взломанной переписки.

Первый предложил купить массив за 400 тыс. руб. и сказал, что он из проекта «Интернационал», но ему «хотелось бы выйти из этой игры, многое рассказав». По его словам, покупатель переписки сможет понять следующее: откуда идут «сливы», кто их покупает, кто заказчик и кто «жертва». Он продемонстрировал несколько скриншотов из предполагаемой переписки группы, однако атрибутировать участников «Шалтая-Болтая» по ним невозможно.

Второй собеседник предложил почту за 300 биткоинов (почти 3,4 млн руб.). Причем заочно обвинил своего конкурента в демпинге и в том, что у него на самом деле ничего нет.

Сами участники «Анонимного интернационала» не подтвердили и не опровергли факт взлома почты. В разговоре с «Газетой.Ru» они указали, что если их и взломали, то, судя по скриншотам, это был общий ящик группы, по которому отследить и идентифицировать представителей группировки нереально: «Там все скучно, в основном общение с журналистами». Позже они сообщили, что уладили все проблемы.

Продавцы называют себя бывшими членами «Интернационала». То, что группировка состоит из нескольких человек, было ясно с самого начала. С журналистами общаются в основном два представителя «Интернационала» — Шалтай и Болтай.

«Анонимный интернационал» — это группа людей, точно не один. Шалтай-Болтай в нашей организации двулик, как бог Янус», — объяснял Болтай «Газете.Ru» в одной из прошлых бесед.

Кроме того, известно о представителе Льюисе: он встречался с корреспондентом портала «Медуза» в Таиланде. Также в разговорах регулярно упоминалась идеолог-вдохновитель группы Алиса.

«Газета.Ru» представила интервью Шалтая и Болтая в анонимном чате лингвисту для идентификации основных черт анонимных собеседников: «Лингвистический анализ никогда не бывает на сто процентов точным. Но очевидно, что это два разных человека. По общей манере — довольно уверенные в себе люди без намеков на нервозность. Возраст — около 30, выборка лексики характерна, используют айтишное арго».

Впрочем, все эти характеристики собеседников могут вообще ничего не значить, поскольку «Интернационал» может быть просто децентрализованной структурой, в которой добыванием информации занимаются одни люди, а Шалтай, Болтай и Льюис выполняют функцию пресс-секретарей. Гипотетически при такой схеме «пресс-секретари» вообще могут не иметь никакой информации об исполнителях и заказчиках.

Почему не возбуждают дела

Важным моментом остается вялое внимание к проекту со стороны правоохранительных органов и официальных лиц. Взлом переписки подпадает под действие ст. 272 УК РФ (неправомерный доступ к компьютерной информации). В третьей части статьи говорится о совершении взлома организованной группой и по предварительному сговору, это грозит лишением свободы на срок до пяти лет.

Почти за полтора года взломов открытой информации по возбужденным уголовным делам нет, а после блокирования одних интернет-площадок «Интернационал» переезжал на другие. Источник в одном из силовых органов заявил, что адреса группы уже вычислены, но «дальше идти не дали».

Однако Константин Калачев уверен: отсутствие о расследовании деятельности «Шалтая» публичной информации не значит, что оно не ведется.

«Правоохранительным органам вовсе не обязательно кричать на весь свет о поиске. То, что их нашли, мы узнаем, когда «сливы» прекратятся», — говорит политолог.

Анонимный эксперт «Газеты.Ru» говорит, что зачистить свои следы при подобных преступлениях достаточно легко, но и терпение спецслужб может быть вознаграждено, правда, не быстрыми успехами: «В США ФБР годами ждет, пока засветятся с ворованными номерами карт или опубликуют какой-нибудь файл или фото с геометками. Так что при должной внимательности не так все сложно».