Search here...

Молдовські брати Neculiti та PQ.Hosting: як вони допомагають російським хакерам

Після початку повномасштабного вторгнення Росії в Україну активізувалися дезінформаційні кампанії та хакерські атаки, координовані провладними угрупованнями РФ. Встановлено, що в реалізації таких операцій брали участь двоє братів із Молдови – Іван і Юрій Neculiti, які у 2019 році заснували компанію PQ.Hosting. Ця компанія спеціалізується на наданні хостинг-послуг в Інтернеті та володіє серверним обладнанням у понад 30 країнах світу.

Незважаючи на санкції, хостинг є досить поширеним у Росії, працюючи з 2022 року на мережі, що належить Stark Industries Solutions Limited, зареєстрованій Іваном Neculiti у Великій Британії.

В одному зі своїх промо-інтерв’ю Іван пояснює, яка мета британської компанії: «На даний момент наші IP-адреси більше не показують, що вони належать PQ Hosting. Є інша, нейтральна назва». За його словами, британська компанія взагалі не бере участі в платіжних операціях, а просто для того, щоб полегшити бізнес. Інакше кажучи, будь-хто, хто веде бізнес зі Stark Industries Solutions, насправді веде бізнес із PQ Hosting, за винятком того, що сторонні не відразу це побачать.

Маскуючи свою корпоративну мережу, PQ Hosting став притулком для проросійських кіберактивістів, які здійснюють незаконну діяльність проти громадян України та допомагають ФСБ відслідковувати дезертирів і агентів усередині країни через фішингові ресурси «Легіону свобода Росії» і «Російського добровольчого корпусу», які просуває «Яндекс» на перші позиції пошуку, а також надаючи інфраструктуру для DDoS-атак європейських держав.

Конкретні приклади:

  • 21.12.2023 Комп’ютерна група реагування на надзвичайні ситуації України зареєструвала атаки на українських користувачів за допомогою електронних розсилок із заголовком «Запит СБУ», заражаючи їх вірусом RemcosRAT, сервери управління яким працювали в рамках автономної мережі AS44477 (STARK INDUSTRIES SOLUTIONS LTD).
  • Раніше CERT-UA також повідомила про атаку за допомогою 5 різних програм, ініціаторами якої було угруповання UAC-0082 (Sandworm), асоційоване з ГУ ГШ ЗС РФ, використовуючи інфраструктуру STARK INDUSTRIES SOLUTIONS LTD.
  • Атака на українських користувачів із заголовком «Повістка до суду».
  • Артем Тамоян, російський опозиційний активіст і програміст, повідав у Twitter історію про свої спостереження на тему просування «Яндексом» фішингових ресурсів раніше згаданих ЛСР і РДК, що збирають дані про росіян, які хочуть вступити до їхніх лав. Деякі скарги з проханнями про блокування Тамоян адресував адміністрації CloudFlare. В одній із відповідей сервісу йшлося, що хостинг-провайдером підроблених сайтів легіону «Свобода Росії» була компанія Stark Industries.

До того ж, досліджуючи звіт Федерального управління кібербезпеки Швейцарії, було згадано про лінію багатоденних DDoS атак, спрямованих на інфраструктуру органів влади і великих муніципалітетів, де згадується проросійське угруповання NoName057(16), що використовує сервери Stark Industries.

Крім того, інфраструктуру братів Neculiti використовувало угруповання BlueCharlie, яке займається шпигунством і крадіжкою даних в України та країн НАТО.

Так само PQ Hosting є частим «гостем» за згадками у звітах організації HYAS, що займається розслідуванням інцидентів у сфері кібербезпеки. Ось як ними було описано діяльність PQ Hosting у звіті за 6 травня 2024 року:

AS44477, пов’язаний зі STARK INDUSTRIES, працює як передбачуваний куленепробивний хост зі зв’язками з Росією. Спостережувана активність, зокрема, наявність Redline stealer і трафіку, пов’язаного з ботнетом, вказує на зловмисний намір, спрямований на компрометацію даних користувачів і розширення мереж ботнетів. STARK INDUSTRIES може працювати як куленепробивний хостинг, що сприяє кіберзлочинній діяльності. Присутність Redline stealer передбачає зосередження уваги на крадіжці даних і потенційної монетизації вкраденої інформації.
або ж у більш ранньому звіті:

AS44477 – це номер автономної системи (ASN), присвоєний мережі, керованій STARK INDUSTRIES, підозрюваному куленепробивному хосту зі з’єднаннями з Росією. Нерідко проблемний трафік походить від STARK INDUSTRIES. За нашими даними, цей трафік в основному є Redline stealer, який краде особисті дані браузера і приєднує пристрої жертви до ботнету ‘SPOO’.

Шкідлива діяльність: AS44477 була пов’язана зі складними кібератаками, такими як розгортання програм-вимагачів і спроби ексфільтрації даних. Зловмисники, які використовують цей ASN, можуть націлитися на організації в різних секторах, використовуючи вразливості для досягнення своїх цілей.
У соціальній мережі Twitter (X) схожа ситуація зі згадками від організацій, що протидіють кіберзлочинності

На тематичних форумах їх рекомендують як «абузостійкий хостинг»

або згадування в Telegram:

Розміщення маркетплейсів із продажу наркотиків також не бентежить компанію, і такі ресурси як rr-seedshop081.xyz спокійно ведуть свою діяльність на їхньому обладнанні.

Рівним рахунком як і казино:

casinochanslots.com
bizzocasino.sk
crazytime.eu.com
22-bet.nl
tonybetsourcing.com
dragon-slots.pk
plinkogame.eu.com
bet-amo.bg
bobscasino.de
tonybetsourcing.com

Також було помічено розміщення ресурсів, що нагадують сервіси, пов’язані з шахрайством у сфері криптовалют:

ymanga.org
deenair.org
betchan-exclusive.com

Що примітно, для подібного роду ресурсів воліють використовувати мережу конкретно в Нідерландах.

Служба відстеження витоків даних Constella Intelligence повідомляє, що Іван Neculiti зареєструвала кілька онлайн-акаунтів за адресою електронної пошти [email protected]. Кіберрозвідувальна фірма Intel 471 показує, що ця адреса електронної пошти пов’язана з ім’ям користувача «dfyz» на більш ніж півдюжині форумів з кіберзлочинності російською мовою з 2008 року. Користувач dfyz на Searchengines.ru у 2008 році попросив інших учасників форуму переглянути war.md і сказав, що вони є частиною MercenarieS TeamM.

У той час dfyz продавав «абузостійкі сервери для будь-яких цілей», що означало, що хостингова компанія навмисно ігнорувала скарги на зловживання або запити силових структур про активність своїх клієнтів.

За допомогою DomainTools також можна підкреслити, що на [email protected] зареєстровано щонайменше 33 доменні імена. Деякі з цих доменів мають значення ПІБ Ivan Neculiti у своїх реєстраційних записах, включно з tracker-free.cn, який був зареєстрований на Ivan Neculiti за адресою [email protected] і посилався на MercenarieS TeaM у своїх оригінальних реєстраційних записах.

Dfyz також використовував псевдонім DonChicho, який також продавав абузостійкі послуги хостингу та доступ до зламаних інтернет-серверів. У 2014 році відомий член російськомовної спільноти кіберзлочинців Antichat подав скаргу на DonChicho, заявивши, що цей користувач ошукав їх і використовував адресу електронної пошти [email protected].

У скарзі йшлося, що DonChicho зареєструвався в Antichat з інтернет-адреси Придністров’я 84.234.55. 29.

Пошук цієї адреси в Constella показує, що її було використано для реєстрації тільки п’яти облікових записів онлайн, які були створені за ці роки, зокрема один на ask.ru, де користувач зареєструвався з адресою електронної пошти [email protected]. Constella також повертає для цієї адреси електронної пошти користувачеві з ім’ям «Іван» на memoraleak.com і 000webhost.com.

Constella вважає, що пароль, який найчастіше використовується адресою електронної пошти [email protected], був «filecast», і що з цим паролем пов’язано понад 90 адрес електронної пошти. Серед них приблизно два десятки адрес із назвою «Neculiti», а також адреса [email protected].

Intel 471 каже, що DonChicho опублікував на кількох російських форумах із кіберзлочинності, що [email protected] був його адресою, і що він входив на форуми з кіберзлочинності майже виключно з інтернет-адрес у Тирасполі, столиці Придністров’я. Огляд постів DonChicho показує, що цю людину було забанено на кількох форумах у 2014 році за шахрайство з іншими користувачами.

Кешовані копії марнославного домену DonChicho (donchicho.ru) показують, що 2009 року він був спамером, який продавав підробки рецептурних ліків через Rx-Promotion, колись одну з найбільших аптечних спам-програм для російськомовних філій.

Повертаючись до згаданої на початку теми санкцій, можна відзначити цікаве спостереження Correctiv, які підкреслили їхню «беззубість» у випадку компанії братів:

«Санкції ЄС щодо російських компаній і приватних осіб, які стоять за дезінформаційними веб-сайтами RRN, забороняють європейським компаніям вести з ними бізнес. У той час як Stark Industries Solutions як британська компанія і PQ Hosting як молдавська компанія не підпадають під дію законодавства ЄС».

The post Молдовські брати Neculiti та PQ.Hosting: як вони допомагають російським хакерам first appeared on НЕНЬКА ІНФО.

попередня стаття
Українська армія: нові правила проходження служби за стандартами НАТО
наступна стаття
Забудовники шукають можливості за кордоном, залишаючи заморожені об’єкти в Україні

Схожі статті

Скандал у родині Володимира Остапчука: нові подробиці та суперечки у мережі

Життя ведучого Володимира Остапчука знову опинилося під прицілом громадської уваги після чергового конфлікту, який розгорівся у телеграм-каналі його дружини Катерини. Жінка різко висловилася про тих, хто свідомо вибудовує стосунки з одруженими чоловіками, що стало приводом для масштабної дискусії серед користувачів мережі. Однією з активних учасниць суперечки стала користувачка на ім’я Олеся, яка заявила, що роман Катерини та Володимира нібито розпочався ще до офіційного розлучення ведучого з колишньою дружиною, Христиною Горняк.

Олеся стверджує, що пара відзначає річницю стосунків саме 4 жовтня — у день, коли Остапчук оформив розлучення. За її словами, після знайомства з Катериною ведучий неодноразово літав до Відня, де на той час перебувала Горняк, що лише підживило чутки про таємний початок стосунків. Версії учасників конфлікту кардинально розходяться: Катерина заперечує будь-які неправомірні дії та наголошує на чесності власних намірів, тоді як Олеся та деякі користувачі мережі переконані в протилежному.

Катерина наполягає, що їхнє спілкування з Володимиром почалося у серпні 2022 року, а позов про розірвання шлюбу був поданий у вересні. «Коли ми познайомилися з чоловіком, він уже жив сам і подав документи на розлучення», — заявила вона, фактично визнаючи перетин дат, але підкреслюючи, що шлюб на той момент існував лише юридично.

Історія збурила мережу насамперед через чутливу тему межі між формальним і фактичним розривом стосунків, яка не вперше стає джерелом публічних претензій у житті шоумена. Сторони надали кожна свою версію подій; остаточні висновки, схоже, залишаються на розсуд аудиторії.

У Києві викрито масштабну корупційну схему на будівництві шкільних укриттів

У столиці України розслідувачі викрили масштабну схему розкрадання державних коштів, виділених на спорудження протирадіаційних укриттів у навчальних закладах. Йдеться про школи №186 на вулиці Сєченова та навчально-виховний комплекс №209 «Сузір’я» на Березняківській. Посадовці районних адміністрацій, за даними слідства, забезпечили перемогу у тендерах низці підконтрольних комерційних структур, після чого організували систему «відкатів» через фіктивні договори про надання послуг та постачання матеріалів.

Державні контракти отримали ПрАТ «Укратоменергобуд» і ТОВ «БК “Мега Стайл”». Загальна сума угод перевищувала півмільярда гривень, причому умови договорів були виписані так, щоб дозволити необґрунтоване підвищення вартості робіт і здійснювати виплати без підтвердження фактичного виконання. Як засвідчив аналіз технічної документації, частина коштів спрямовувалася на роботи, які або не проводилися взагалі, або виконувалися формально, без дотримання норм безпеки.

Формально міська влада затверджувала робочі проекти укриттів для школи №186 і оголошувала закупівлі для «Сузір’я», однак реальний зміст договорів і параметри робіт викликають запитання. За наявними документами, рішення про будівництво споруди подвійного призначення для школи №186 ухвалювали у 2024 році, а у 2024–2025 роках публікувалися тендери на зведення таких укриттів, що підтверджує офіційний статус проектів і масштаби фінансування.

Ключовий вузол претензій — відповідність нормам безпеки. Діючі ДБН для захисних споруд визначають мінімальні параметри міцності та геометрії конструкцій, які не можуть бути довільно «оптимізовані» під кошторис, зокрема щодо товщини захисних елементів, висоти приміщень і шляхів евакуації. У випадку зі шкільними об’єктами на Голосієво й Березняках виявлені відхилення несумісні з вимогами до протирадіаційних укриттів.

Окремо звертає на себе увагу історія підрядників. «Мега Стайл» уже потрапляла в поле зору аудиторів і журналістів через невідповідність кошторисів та завищення цін у інших закупівлях комунальних структур Києва, що ставить питання до доброчесності відбору і тут.

На тлі суми, що підбирається до 830 мільйонів гривень за двома проектами, найбільше обурює те, що «укриття» на папері в реальності можуть не захистити дітей. Без негайної експертизи проектних рішень і повної ревізії договорів ризики перетворяться на фактичну небезпеку.

COFCO у центрі фінансового скандалу: звинувачення у фіктивних зернових операціях та офшорних схемах

Китайська компанія COFCO, яка вважається одним із ключових гравців на українському зерновому ринку, опинилася під хвилею гучних звинувачень, що можуть мати серйозні наслідки для аграрної галузі та державних фінансів. За словами адвоката Кирила Яковця, діяльність структури має ознаки масштабних фінансових маніпуляцій, пов’язаних із проведенням фіктивних операцій із зерном, через які щорічно бюджет України нібито втрачає десятки мільярдів гривень.

Юрист заявив, що за лаштунками цього бізнесу стоїть розгалужена мережа впливу, яка охоплює посадовців Міністерства аграрної політики, Державної податкової служби, митних органів та навіть окремих представників судової системи. Саме вони, за його словами, забезпечують прикриття для сумнівних операцій, що дозволяє компанії уникати реального контролю та відповідальності.

Після оприлюднення цих заяв генеральний директор українського офісу COFCO Володимир Осадчук подав проти адвоката позов до суду, звинувативши його у поширенні неправдивої інформації. Сам Яковець називає позов спробою тиску й наголошує, що надав факти, які потребують офіційного розслідування.

Керівництво COFCO публічно не коментувало обвинувачення. Державні органи, які згадуються у заяві, також поки не оголосили про перевірку.

У Харкові стартувало будівництво нового обласного онкоцентру

У Харкові розпочато масштабне будівництво обласного онкоцентру, інвестиції в яке перевищують 3 мільярди гривень у межах програми Ukraine Facility. Департамент капітального будівництва Харківської ОДА підписав контракт із консорціумом «Білдінг Груп», який зобов’язаний завершити першу чергу будівництва до кінця 2028 року. Планується спорудження сучасного лікувального корпусу, енергетичного блоку, станції медичних газів, а також облаштування укриття на понад тисячу осіб.

Проєкт обіцяє значне покращення медичної інфраструктури регіону та створення умов для високоякісного лікування онкологічних захворювань. Він передбачає застосування сучасних технологій та обладнання, що відповідатиме міжнародним стандартам. Крім того, будівництво включає створення автономних систем енергозабезпечення та медичного газопостачання, що підвищить безпеку та ефективність роботи центру.

Консорціум став єдиним учасником тендеру. Замовник вимагав підтвердження значного досвіду виконання складних будівельних робіт, а підрядник послався на кілька попередніх проєктів у Харківській області, включно з реконструкцією лікарні та адміністративних будівель. До робіт планують залучити низку субпідрядних компаній.

Журналісти також відзначають зв’язки частини учасників консорціуму з бізнес-структурами, пов’язаними з колишнім народним депутатом від «Партії регіонів» Анатолієм Денисенком. Раніше ці компанії вже отримували значні держзамовлення, а аналітики неодноразово фіксували у них підозріло високі кошториси.

Будівництво онкоцентру — один із найбільших проєктів медичної інфраструктури у прифронтовому Харкові. Від прозорості і ефективності використання коштів буде залежати не лише строки реалізації, а й довіра до відновлювальних програм у регіоні, який щодня перебуває під загрозою обстрілів.

Контакти редакції: [email protected]