Нова Зеландія оголосила про черговий пакет санкцій проти Росії та осіб і організацій, які сприяють її війні проти України. Нові обмеження стосуються 33 фізичних та юридичних осіб.
Про запровадження санкцій оголосив міністр закордонних справ країни Вінстон Пітерс. За його словами, новий пакет спрямований не лише проти безпосередніх учасників російської агресії, а й проти тих, хто допомагає Москві обходити міжнародні обмеження, веде кібератаки, поширює пропаганду або причетний до незаконного переміщення українських дітей.
Окрему увагу в новому санкційному пакеті приділили особам та структурам, причетним до примусового переселення, викрадення та так званого «перевиховання» українських дітей на окупованих територіях та в Росії.
Вінстон Пітерс наголосив, що діти не повинні використовуватися як інструмент війни.
«Дітей ніколи не слід використовувати як знаряддя війни. Нова Зеландія, як і раніше, глибоко стурбована спробами викрадення та перевиховання українських дітей за допомогою примусових державних програм», — заявив глава новозеландського МЗС.
Питання незаконної депортації українських дітей залишається одним із ключових міжнародних звинувачень на адресу Росії. Україна та її міжнародні партнери неодноразово заявляли про необхідність повернення дітей, яких російська влада вивезла з тимчасово окупованих українських територій.
У 2023 році Міжнародний кримінальний суд у Гаазі видав ордери на арешт президента РФ Володимира Путіна та російської уповноваженої з прав дитини Марії Львової-Бєлової. Суд пов’язав ордери, зокрема, з підозрами у незаконній депортації та переміщенні українських дітей.
Ще одним важливим напрямком нового пакета стали російські кіберзагрози. Обмеження запровадили проти суб’єктів, яких Нова Зеландія вважає причетними до шкідливої кібердіяльності.
За словами Пітерса, кіберпростір дедалі частіше використовується Росією для збору розвідувальної інформації, обходу санкцій та протидії державам і організаціям, які виступають проти російської агресії.
«Діяльність, що здійснюється за клавіатурою, може мати реальні наслідки», — заявив міністр.
Новозеландська влада також запровадила обмеження проти осіб і структур, які сприяють створенню та поширенню антиукраїнської пропаганди. Йдеться про інформаційну діяльність, спрямовану на виправдання або легітимізацію російського вторгнення в Україну.
До нового санкційного списку також увійшли особи та структури, які, за оцінкою Нової Зеландії, роблять внесок у російський військово-промисловий комплекс.
Крім того, санкції стосуються окремих представників російського політичного середовища та суб’єктів з Північної Кореї та Ірану, які підтримують військові зусилля Москви.
Таким чином, новий пакет охоплює одразу кілька напрямків підтримки російської війни — від військово-промислового виробництва та політичної підтримки до кібероперацій, пропаганди й незаконного переміщення українських дітей.
Уряд Нової Зеландії продовжує використовувати санкційний механізм як один із ключових інструментів тиску на Росію та її партнерів. Обмеження мають ускладнювати доступ підсанкційних осіб та організацій до фінансових ресурсів і міжнародної співпраці.
Новий пакет став уже 36-м раундом санкцій Нової Зеландії проти Росії від початку повномасштабного вторгнення.
З моменту набуття чинності Законом про санкції проти Росії у березні 2022 року Нова Зеландія запровадила обмеження щодо понад 2000 фізичних та юридичних осіб, а також суден.
Таким чином, Веллінгтон продовжує розширювати санкційний режим, зосереджуючись не лише на російських посадовцях і компаніях, а й на міжнародних мережах, які допомагають Кремлю підтримувати військові можливості та обходити санкції.
Нові обмеження також демонструють, що питання незаконної депортації українських дітей залишається одним із напрямків міжнародного тиску на Росію. Поряд із санкціями проти представників військово-промислового комплексу та кіберзлочинців це формує ширший підхід Нової Зеландії до протидії російській агресії.
В умовах війни та економічної нестабільності українці стали вразливішими до кіберзлочинності, особливо коли мова йде про соціальні виплати. Однією з новітніх схем стало шахрайство під виглядом державної програми “Пакунок школяра”. Зловмисники, прикриваючись благородною метою — допомогою дітям, — масово збирають конфіденційну інформацію громадян і списують кошти з їхніх рахунків.
Схема працює просто: у соціальних мережах поширюються фейкові оголошення про грошову допомогу від держави. Громадян запрошують заповнити коротку форму на сайті, який імітує офіційний державний ресурс. Далі — «обов’язковий» пункт: введення даних банківської картки. Усе виглядає максимально переконливо. Але як тільки дані введено — шахраї одразу знімають гроші.
Проблема набагато глибша, ніж окремі епізоди фінансових втрат. Від таких схем потерпають найбільш вразливі категорії — батьки малолітніх дітей, переселенці, сім’ї військовослужбовців. Злочинці грають на емоціях і довірі до держави, яку вони системно підривають.
Особливо тривожно, що частина технічної інфраструктури шахрайських кол-центрів розміщена в Україні. За словами джерел, частина таких груп діє за мовчазної згоди або й прямого «кришування» з боку представників правоохоронних органів. Це створює атмосферу безкарності, у якій шахраї почуваються впевнено, а громадяни — дедалі беззахиснішими.
Боротьба з такими схемами вимагає негайного реагування на рівні кіберполіції, СБУ та Міністерства цифрової трансформації. А також — прозорої та відкритої комунікації з боку держави щодо реальних програм допомоги. Інакше довіра до держави буде зруйнована там, де вона найбільше потрібна — у сім’ях, які потребують підтримки.
Кіберзлочинці продовжують використовувати фішингові сайти для викрадання банківських даних українців. Вони надають себе за покупців на торговельних платформах і надсилають продавцям фальшиві посилання нібито для «підтвердження оплати», після чого забезпечують доступ до банківських рахунків жертвою.
Шахраї використовують фальшиві сайти та підроблені посилання для виманювання персональних даних на торговельних майданчиках. Про це повідомляє Державна служба спеціального звʼязку та захисту інформації України.
Основним інструментом шахраїв у їхній схемі є фальшиві сайти та посилання, які імітують справжні ресурси,
Приклад такої схеми:
Крок 1. Шахрай робить вигляд, що хоче купити товар. Зловмисник пише продавцеві на торговельному майданчику OLX, демонструючи зацікавленість у товарі. Він пропонує перенести спілкування до месенджера Telegram, мотивуючи це нібито технічними проблемами з відображенням фотографій на платформі OLX.
Крок 2. Шахрай у месенджері повідомляє про готовність придбати товар і пропонує організувати відправлення через “Нову Пошту” з повною передоплатою на картку. Для цього він запитує у продавця номер картки для оплати і надсилає адресу для доставки товару.
Крок 3. Запевняє, що все оплатив і надсилає фішингове посилання, стилізоване під сторінку авторизації банку, де продавцеві пропонують підтвердити отримання коштів.
Крок 4. Виманює дані через шахрайський сайт.
На фішинговій сторінці продавцеві пропонують ввести номер мобільного телефону, номер картки та ПІН-код для підтвердження отримання коштів.
Крок 5. Шахрай краде гроші. Отримані дані шахраї використовують для прив’язки акаунту користувача до нового пристрою або для онлайн-авторизації на порталі відповідного банку, що дає їм змогу вивести кошти з рахунку жертви.
Як уберегтися від шахрайства
Обговорюйте деталі угоди виключно в чаті торговельного майданчика або використовуючи його додаток! Перевіряйте сайти, на яких вводите свої дані.
Після початку повномасштабного вторгнення Росії в Україну активізувалися дезінформаційні кампанії та хакерські атаки, координовані провладними угрупованнями РФ. Встановлено, що в реалізації таких операцій брали участь двоє братів із Молдови – Іван і Юрій Neculiti, які у 2019 році заснували компанію PQ.Hosting. Ця компанія спеціалізується на наданні хостинг-послуг в Інтернеті та володіє серверним обладнанням у понад 30 країнах світу.
Незважаючи на санкції, хостинг є досить поширеним у Росії, працюючи з 2022 року на мережі, що належить Stark Industries Solutions Limited, зареєстрованій Іваном Neculiti у Великій Британії.
В одному зі своїх промо-інтерв’ю Іван пояснює, яка мета британської компанії: «На даний момент наші IP-адреси більше не показують, що вони належать PQ Hosting. Є інша, нейтральна назва». За його словами, британська компанія взагалі не бере участі в платіжних операціях, а просто для того, щоб полегшити бізнес. Інакше кажучи, будь-хто, хто веде бізнес зі Stark Industries Solutions, насправді веде бізнес із PQ Hosting, за винятком того, що сторонні не відразу це побачать.
Маскуючи свою корпоративну мережу, PQ Hosting став притулком для проросійських кіберактивістів, які здійснюють незаконну діяльність проти громадян України та допомагають ФСБ відслідковувати дезертирів і агентів усередині країни через фішингові ресурси «Легіону свобода Росії» і «Російського добровольчого корпусу», які просуває «Яндекс» на перші позиції пошуку, а також надаючи інфраструктуру для DDoS-атак європейських держав.
Конкретні приклади:
21.12.2023 Комп’ютерна група реагування на надзвичайні ситуації України зареєструвала атаки на українських користувачів за допомогою електронних розсилок із заголовком «Запит СБУ», заражаючи їх вірусом RemcosRAT, сервери управління яким працювали в рамках автономної мережі AS44477 (STARK INDUSTRIES SOLUTIONS LTD).
Раніше CERT-UA також повідомила про атаку за допомогою 5 різних програм, ініціаторами якої було угруповання UAC-0082 (Sandworm), асоційоване з ГУ ГШ ЗС РФ, використовуючи інфраструктуру STARK INDUSTRIES SOLUTIONS LTD.
Атака на українських користувачів із заголовком «Повістка до суду».
Артем Тамоян, російський опозиційний активіст і програміст, повідав у Twitter історію про свої спостереження на тему просування «Яндексом» фішингових ресурсів раніше згаданих ЛСР і РДК, що збирають дані про росіян, які хочуть вступити до їхніх лав. Деякі скарги з проханнями про блокування Тамоян адресував адміністрації CloudFlare. В одній із відповідей сервісу йшлося, що хостинг-провайдером підроблених сайтів легіону «Свобода Росії» була компанія Stark Industries.
До того ж, досліджуючи звіт Федерального управління кібербезпеки Швейцарії, було згадано про лінію багатоденних DDoS атак, спрямованих на інфраструктуру органів влади і великих муніципалітетів, де згадується проросійське угруповання NoName057(16), що використовує сервери Stark Industries.
Крім того, інфраструктуру братів Neculiti використовувало угруповання BlueCharlie, яке займається шпигунством і крадіжкою даних в України та країн НАТО.
Так само PQ Hosting є частим «гостем» за згадками у звітах організації HYAS, що займається розслідуванням інцидентів у сфері кібербезпеки. Ось як ними було описано діяльність PQ Hosting у звіті за 6 травня 2024 року:
AS44477, пов’язаний зі STARK INDUSTRIES, працює як передбачуваний куленепробивний хост зі зв’язками з Росією. Спостережувана активність, зокрема, наявність Redline stealer і трафіку, пов’язаного з ботнетом, вказує на зловмисний намір, спрямований на компрометацію даних користувачів і розширення мереж ботнетів. STARK INDUSTRIES може працювати як куленепробивний хостинг, що сприяє кіберзлочинній діяльності. Присутність Redline stealer передбачає зосередження уваги на крадіжці даних і потенційної монетизації вкраденої інформації.
або ж у більш ранньому звіті:
AS44477 – це номер автономної системи (ASN), присвоєний мережі, керованій STARK INDUSTRIES, підозрюваному куленепробивному хосту зі з’єднаннями з Росією. Нерідко проблемний трафік походить від STARK INDUSTRIES. За нашими даними, цей трафік в основному є Redline stealer, який краде особисті дані браузера і приєднує пристрої жертви до ботнету ‘SPOO’.
Шкідлива діяльність: AS44477 була пов’язана зі складними кібератаками, такими як розгортання програм-вимагачів і спроби ексфільтрації даних. Зловмисники, які використовують цей ASN, можуть націлитися на організації в різних секторах, використовуючи вразливості для досягнення своїх цілей.
У соціальній мережі Twitter (X) схожа ситуація зі згадками від організацій, що протидіють кіберзлочинності
На тематичних форумах їх рекомендують як «абузостійкий хостинг»
або згадування в Telegram:
Розміщення маркетплейсів із продажу наркотиків також не бентежить компанію, і такі ресурси як rr-seedshop081.xyz спокійно ведуть свою діяльність на їхньому обладнанні.
Також було помічено розміщення ресурсів, що нагадують сервіси, пов’язані з шахрайством у сфері криптовалют:
ymanga.org
deenair.org
betchan-exclusive.com
Що примітно, для подібного роду ресурсів воліють використовувати мережу конкретно в Нідерландах.
Служба відстеження витоків даних Constella Intelligence повідомляє, що Іван Neculiti зареєструвала кілька онлайн-акаунтів за адресою електронної пошти [email protected]. Кіберрозвідувальна фірма Intel 471 показує, що ця адреса електронної пошти пов’язана з ім’ям користувача «dfyz» на більш ніж півдюжині форумів з кіберзлочинності російською мовою з 2008 року. Користувач dfyz на Searchengines.ru у 2008 році попросив інших учасників форуму переглянути war.md і сказав, що вони є частиною MercenarieS TeamM.
У той час dfyz продавав «абузостійкі сервери для будь-яких цілей», що означало, що хостингова компанія навмисно ігнорувала скарги на зловживання або запити силових структур про активність своїх клієнтів.
За допомогою DomainTools також можна підкреслити, що на [email protected] зареєстровано щонайменше 33 доменні імена. Деякі з цих доменів мають значення ПІБ Ivan Neculiti у своїх реєстраційних записах, включно з tracker-free.cn, який був зареєстрований на Ivan Neculiti за адресою [email protected] і посилався на MercenarieS TeaM у своїх оригінальних реєстраційних записах.
Dfyz також використовував псевдонім DonChicho, який також продавав абузостійкі послуги хостингу та доступ до зламаних інтернет-серверів. У 2014 році відомий член російськомовної спільноти кіберзлочинців Antichat подав скаргу на DonChicho, заявивши, що цей користувач ошукав їх і використовував адресу електронної пошти [email protected].
У скарзі йшлося, що DonChicho зареєструвався в Antichat з інтернет-адреси Придністров’я 84.234.55. 29.
Пошук цієї адреси в Constella показує, що її було використано для реєстрації тільки п’яти облікових записів онлайн, які були створені за ці роки, зокрема один на ask.ru, де користувач зареєструвався з адресою електронної пошти [email protected]. Constella також повертає для цієї адреси електронної пошти користувачеві з ім’ям «Іван» на memoraleak.com і 000webhost.com.
Constella вважає, що пароль, який найчастіше використовується адресою електронної пошти [email protected], був «filecast», і що з цим паролем пов’язано понад 90 адрес електронної пошти. Серед них приблизно два десятки адрес із назвою «Neculiti», а також адреса [email protected].
Intel 471 каже, що DonChicho опублікував на кількох російських форумах із кіберзлочинності, що [email protected] був його адресою, і що він входив на форуми з кіберзлочинності майже виключно з інтернет-адрес у Тирасполі, столиці Придністров’я. Огляд постів DonChicho показує, що цю людину було забанено на кількох форумах у 2014 році за шахрайство з іншими користувачами.
Кешовані копії марнославного домену DonChicho (donchicho.ru) показують, що 2009 року він був спамером, який продавав підробки рецептурних ліків через Rx-Promotion, колись одну з найбільших аптечних спам-програм для російськомовних філій.
Повертаючись до згаданої на початку теми санкцій, можна відзначити цікаве спостереження Correctiv, які підкреслили їхню «беззубість» у випадку компанії братів:
«Санкції ЄС щодо російських компаній і приватних осіб, які стоять за дезінформаційними веб-сайтами RRN, забороняють європейським компаніям вести з ними бізнес. У той час як Stark Industries Solutions як британська компанія і PQ Hosting як молдавська компанія не підпадають під дію законодавства ЄС».
