Актуальные вопросы противодействия преступности в сети Даркнет

Гонов Шамиль Хасанович кандидат технических наук доцент кафедры информационных технологий Академии управления МВД России 125171, Россия, г. Москва, ул. З.и А. Космодемьянских, 8 Gonov Shamil Khasanovich PhD in Technical Science Associate Professor at the Department of Information Technologies of the Academy of Management of the Ministry of Internal Affairs of the Russian Federation 125171, Russia, g. Moscow, ul. Z.i A. Kosmodem'yanskikh, 8 gonov@bk.ru

Милованов Антон Владимирович преподаватель-методист центра командно-штабных учений Академии управления МВД России 125171, Россия, г. Г Москва, ул. Зои И Александра, 8 Milovanov Anton Vladimirovich Lecturer and Supervisor at the Centre for Command and Staff Training of the Academy of Management of the Ministry of Internal Affairs of Russia 125171, Russia, g. G Moscow, ul. Zoi I Aleksandra, 8 Ant.milovanov2017@ya.ru

В последние годы наблюдается значительный рост доли преступлений, совершаемых с использованием информационно-телекоммуникационных технологий ^[1]. Большая часть из них совершается с применением технологий в теневом и скрытом сегменте сети Интернет ^[2]. Таким образом, одним из важнейших стадий выявления и расследования преступлений становиться вопрос деанонимизации ^[3]. Актуальность данного вопроса в последние годы вызывает значительный интерес как практических работников, так и научного сообщества ^{[4, 5, 6, 7]}.

По признаку доступности ресурсов сеть Интернет можно разделить на три уровня, видимая ее часть, охватываемая поисковыми системами (Yandex, Google, Rambler, Bing и др.), называется ClearNet-ом. Закрытые (условно-закрытые) и веб-ресурсы, не индексирующиеся поисковыми роботами (краулерами) и не отображающиеся при поисковых запросах называется глубоким интернетом (DeepWeb) и по мнению авторов занимает не менее 80% ресурсов сети. На последнем уровне расположен теневой интернет (DarkNet), на ресурсы которого можно зайти, используя специальное программное обеспечение (TOR, I2P, VPN и др.). Строго говоря, Даркнет не является структурным сегментом сети Интернет, рассматриваемая технология работает поверх существующих каналов связи с использованием аналогичных механизмов.

Постановка задачи

Вопросы обеспечения анонимности пользователей в сети интернет возникали уже на заре создания и становления общедоступных телекоммуникационных сетей. Ошибочно полагать, что вопросы анонимизации и деанонимизации актуальны только в последнее время. Здесь уместно вспомнить о некоторых существующих технологиях отслеживания работы (трекинга) пользователей. Данные технологии в основном применяются для маркетинговых целей и достаточно востребованы в рекламе (Alexa, SimilarWeb и др.). Однако, методы трекинга могут с успехом применяться и в целях деанонимизации пользователей, являющихся объектами оперативной разработки.

Рассмотрим некоторые тенденции преступности совершаемой в сфере телекоммуникаций и компьютерной информации (далее – «ТиКИ»). Статистические данные без учета данных по г. Севастополю и республике Крым за период с 2011 по 2019 г. приведены в таблице (таблица 1).

Таблица 1

Из вышеприведенных данных видно, что в последние годы наблюдается устойчивая динамика роста преступлений данной категории (рисунок 1). Так, темп роста в 2019 г. составил 69,3% (АППГ 91,6%), кроме этого почти в два раза увеличился удельный вес преступлений данной категории в общем количестве зарегистрированных с 8,8% до 14,6%. В тоже время, доля мошенничеств, совершенных с использованием телекоммуникаций и компьютерной информации в общем количестве зарегистрированных мошенничеств, увеличилась с 47,2% до 54,8%.

Рисунок 1. Преступления, совершаемые в сфере телекоммуникаций и компьютерной информации

Увеличение доли преступных проявлений в сети интернет, рост количества преступлений, совершаемых с использованием информационно-телекоммуникационных систем приводит к запрету сайтов с неприемлемым содержимым и как следствие, к блокировкам данных ресурсов. Однако, включение сайтов в «Единый реестр доменных имён, указателей страниц сайтов в сети «Интернет» и сетевых адресов, позволяющих идентифицировать сайты в сети «Интернет», содержащие информацию, распространение которой в Российской Федерации запрещено» приводит к применению соответствующих анонимайзеров.

Методы трекинга

Рассмотрим некоторые основные методы отслеживания пользователей: cookie (EverCookie), отслеживание IP-адреса, отпечаток браузера (Fingerprinting) и анализ поведения. Если первые две технологии достаточно хорошо известны, то последние две появились сравнительно недавно и постоянно совершенствуются. Кроме, этого в данных технологиях речь идет о вероятности, а не об однозначной идентификации пользователя. Так, применение технологии Fingerprinting позволяет идентифицировать устройство с которого осуществлялось посещение ресурса. Для примера, приведем некоторые параметры, по которому может осуществляться идентификация пользователя (наименование браузера, настройки экрана, JavaScript, язык и т.п.). По аналогичной технологии функционирует и метод анализ поведения, в которой основными параметрами являются скорость нажатия клавиш, перемещение указателя мыши и т.п. Очевидно, что здесь речь идет о технологиях машинного обучения на основе нейронных сетей.

Однако, рассмотренные технологии имеют скорее вспомогательное значение и в качестве доказательной базы при решении задач расследования преступлений в полной мере рассматриваться не могут. Таким образом, основным методом отслеживания работы в сети интернет остается анализ IP-адреса. К сожалению, данную технологию сложно отнести к высокоэффективным методам. Очевидно, что рост компьютерной грамотности, повсеместное распространение компьютерной техники и различных гаджетов, а также увеличение доли пользователей, имеющих доступ к сети интернет приводит к совершенствованию методов обеспечения анонимности. Тем сложнее становиться задача правоохранительных органов по противодействию преступным проявлениям в сети интернет.

Наиболее действенным и простым способом обхода блокировок Роскомнадзора следует признать использование технологии VPN, позволяющая создать защищенный туннель внутри сети незащищенной сети интернет. Однако, наиболее распространенным методом обеспечения анонимности является применение анонимных сетей, которые могут быть децентрализованными (I2P) или гибридными (TOR). Наиболее распространенной в мире является технология луковичной маршрутизации (TOR), позволяющая установить защищенное соединение с onion-ресурсами, за счет использование системы прокси-серверов, в которой осуществляется шифрование передаваемых данных. Относительная простота настройки и использования данной технологии позволила ей быстро завоевать популярность в сфере обеспечения анонимности работы в сети.

Анализируя данные, представленные на сайте metrics.torproject.org можно заметить, что количество пользователей TOR постепенно увеличивается и составляет приблизительно 350 тыс. Вместе с тем, некоторый рост в отдельные моменты времени связан с вредоносным программным обеспечением, работающим под управлением ботнета. Таким образом, несмотря на официальные статистические данные, в том числе и на указанном сайте, сложно оценить реальный масштаб распространения анонимных сетей.

Технологии поиска и получения информации в даркнете реализованы по аналогии с интернетом, здесь также есть и каталоги ресурсов, и поисковые системы. Существенным отличием является то, что наиболее распространенным источником информации выступают службы каталогов, в которых и размещаются соответствующие ссылки. Функционал поисковых систем в сети TOR (notEvil, TORCH, Ahmia и др.) значительно уступает аналогичным инструментам в сети интернет. Основными же ресурсами в сети TOR являются социальные сети, форумы, торговые площадки и др., с разнообразным содержимым от продажи наркотических средств, до детской порнографии.

Типовая схема совершения преступлений

В данной сети получили свое отражение и различные способы защиты клиентов, например, схема «гарант-сервис», в которой значительно повышается защищенность денежных операций при использовании электронных денег. Для регистрации электронных денег (далее «ЭПС») при помощи наиболее распространенных платежных систем (WebMoney, ЯндексДеньги, QIWI и др.) используются три основные технологии: «левая» сим-карта, готовый «кошелек» и «виртуальный номер банковской карты». Несмотря на ужесточение правил регистрации сим-карт, их приобретение и использование обычно не вызывает особых затруднений. Заметим, что «анонимная» сим-карта необходима только на первом этапе первичной регистрации в ЭПС и в дальнейшем не используется. В дальнейшем злоумышленником регистрируется аккаунт в ЭПС, пополняется, заводиться «левый» аккаунт в ЭПС, приобретается криптовалюта, пополняется кошелек и приобретается криптовалюта. Данная процедура может повторяться несколько раз пока не будет достигнута главная цель – усложнение процедуры деанонимизации злоумышленника за счет удлинения цепочки финансовых операций. По аналогичной схеме осуществляется и регистрация «виртуальных номеров банковских карт».

Применение ЭПС имеет один существенный недостаток, связанный с ограничением сумм денежных средств. Так, платежная система QIWI предлагает следующие типы кошельков: анонимный, стандартный и максимальный. Анонимный статус предполагает слишком низкую сумму финансовых операций, а максимальный предполагает личное обращение в офис для подтверждения учетной записи. Очевидно, что данная процедура для злоумышленника также является неприемлемой. Для получения стандартного уровня достаточно предоставить селфи с паспортом в руках и необходимости личного обращения в офис нет. Заметим, что даже в открытой сети интернет достаточно много ресурсов предоставляющих услуги по предоставлению «левых» фото с паспортом или другим документом. Такого рода услуги не редкость в сети TOR и являются легко доступными. Таким образом, наиболее «опасным» для злоумышленника этапом является процедура первичного получения доступа к ЭПС, в частности этап приобретения сим-карты.

Рассмотрим примерную схему одного из наиболее распространенных видов преступлений, совершаемых с использованием сети TOR – сбыт (приобретение) наркотических средств (далее «НС», «ПАВ» или «СДВ»), психоактивных веществ, сильнодействующих веществ. На торговых площадках обычно публикуются объявления о продаже НС, ПАВ, СДВ по двум позициям (предзаказ и готовый клад). Для связи с продавцом всегда применяется схема шифрования информации и цифровой подписи файлов (сообщений) на основе GPG (GNU Privacy Guard), с использованием открытого и закрытого ключей. Открытый ключ обычно прикрепляется к профилю пользователя и доступен для всех. Наиболее часто применяются свободные программы типа gpg4usb или gpg4win. «Покупатель» с использованием открытого ключа «продавца» и собственного закрытого ключа формирует сообщение и направляет его «продавцу». «Продавец» проверяет целостность сообщения отправителя и формирует ответ по аналогичной схеме. «Покупатель» лично или при помощи гаранта приобретает за криптовалюту запрашиваемую позицию и получает информацию о местонахождении клада (закладки). При использовании сервиса-гаранта после получения клада и проверки его гарант переводит криптовалюту «продавцу».

Рассмотрим некоторые особенности преступной деятельности так называемых «кладменов», т.е. лиц, производящих закладки наркотиков («товар»). На первом этапе осуществляется фасовка «товара». Чаще всего наркотики упаковываются в пластиковые пакетики (зиплоки) размерностью (4х6, 6х8). В основном применяются два основных метода закладок: закапывание в грунт (прикоп) или прикрепление к поверхности (металлической). В первом варианте, закладка фиксируются изоляционной лентой, чаще всего цветной, а во втором к нему прикрепляется неодимовый магнит. Особенностью первого метода является наличие четких ориентиров – например, (гараж (номер листа), стена (номер кирпича), дерево в парке и др. При применении данного метода ясно видны демаскирующие особенности: перекопанная земля, куски изоленты, разорванные зиплоки. При применении второго метода закладка крепиться на металлическую поверхность – например, подоконник, водосточную трубу, элементы ограждения и т.п. Демаскирующие особенности: кладмен обычно фотографирует закладку. Кроме этого закладка обычно маскируется под городской пейзаж. Чаще всего закладчик работает в знакомых районах поэтому есть высокая вероятность наличия нескольких закладок в одном районе. Наибольшая вероятность закладок наблюдается в вечерние часы (8-9 вечера), что вызвано снижением плотности нарядов патрульно-постовой службы в это время.

Модель злоумышленника и его потенциал

Для проведения эффективных мероприятий по выявлению и раскрытию преступлений, совершаемых с использованием информационно-телекоммуникационных технологий необходимо определить возможности злоумышленника, для чего необходимо сформировать модель злоумышленника и его потенциал. Авторами предложена следующая общая классификация злоумышленников с учетом их потенциала и возможностей (таблица 2).

Таблица 2

Предложенная нами классификация носит общий характер и предназначена в первую очередь для первичного изучения личности злоумышленника. Далее рассмотрим некоторые особенности применения средств вычислительной техники в преступной деятельности в информационно-телекоммуникационных сетях.

Заметим, что применение специализированных операционных систем без установки на жесткий диск компьютера значительно повышает возможности анонимного входа и навигации по сети интернет. В качестве примера можно привести операционную систему TAILS, представляющую собой специальную модернизированную версию Linux Debian. Перечислим некоторые программные продукты, входящие в состав TAILS. TOR Browser – программа анонимной работы в сети, Mozilla Thunderbird – почтовое приложение, GNU Privacy Guard – программа для создания ключей шифрования и подписи сообщений, KeePassXC – менеджер паролей, Electrum Bitcoin – криптокошелек и Metadata Anonymisation Toolkit (МАТ) – программа для удаления матаданных в файлах. Например, программа МАТ позволяет удалять метаданные в графических файлах, т.к. большинство современных фотоаппаратов добавляет в фотографии метаданные формата Exif (производитель и модель камеры, время съемки и т.п.). Криминалистическое исследование аппаратных и программных средств не входит цель нашей статьи, однако заметим, что загрузка TAILS происходит разово и данные о работе системы хранятся в оперативной памяти и только в течении одного сеанса. Таким образом, использование операционной системы TAILS или аналогичных систем свидетельствует о достаточно высоком профессиональном уровне злоумышленника.

Подводя итог следует сказать, что технология деанонимизации является творческим процессом и применение типовых методик не вполне эффективно. При наличии у злоумышленника высокого потенциала его деанонмимизация может стать очень сложной, но выполнимой, задачей.