Российский провайдер Aeza Group, стоящий за хакерами, даркнетом и рынками наркотиков, попал под санкции

Авторы: Lisa & Liz

Редактор: Liz

Предыстория

В последнее время Управление по контролю за иностранными активами Министерства финансов США (OFAC) объявило о введении санкций против базирующейся в России группы Aeza Group и связанных с ней структур, обосновав это тем, что компания предоставляет услуги хостинга для программ-вымогателей и инструментов кражи информации.

(https://home.treasury.gov/news/press-releases/sb0185)

В рамках данных санкций под блокировку попали сама группа Aeza Group, её британская юридическая витрина Aeza International Ltd., две российские дочерние компании (Aeza Logistic LLC и Cloud Solutions LLC), четыре руководителя (генеральный директор Арсений Пензев, директор Юрий Бозоян, технический директор Владимир Гаст и управляющий Игорь Князев), а также криптокошелек (TU4tDFRvcKhAZ1jdihojmBWZqvJhQCnJ4F).

«Злоумышленники по-прежнему сильно зависят от таких провайдеров пуленепробиваемого хостинга, как Aeza Group, чтобы запускать деструктивные атаки с помощью программ-вымогателей, похищать американские технологии и продавать наркотики на чёрном рынке, — заявил исполняющий обязанности заместителя секретаря Минфина США по контртерроризму и финансовым разведкам Брэдли Т. Смит. — Министерство финансов продолжит тесное сотрудничество с Великобританией и другими международными партнерами для неизменного выявления ключевых узлов, инфраструктуры и лиц, обеспечивающих существование этой криминальной экосистемы».

Данные санкции свидетельствуют о том, что международные правоохранительные органы смещают фокус борьбы с самих злоумышленников на технологическую инфраструктуру и провайдеров услуг, стоящих за ними. В данной статье мы рассмотрим предысторию и модель деятельности группы Aeza Group, а также с помощью анализа платформы онлайн-отслеживания и противодействия отмыванию денег MistTrack восстановим её роль в преступной экосистеме.

Кто такая группа Aeza?

(https://www.pcmag.com/news/us-sanctions-russian-web-hosting-provider-aeza-for-fueling-malware)

Группа Aeza представляет собой российского провайдера услуг пуленепробиваемого хостинга (BPH) со штаб-квартирой в Санкт-Петербурге, который уже долгое время предоставляет выделенные серверы и анонимный хостинг таким криминальным группировкам, как операторы программ-вымогателей, создатели ПО для кражи данных (infostealers) и участники незаконных платформ торговли наркотиками.

Её клиентами являются: всемирно известные операторы ПО для кражи данных, такие как Lumma и Meduza, которые атаковали оборонно-промышленный комплекс США и глобальные технологические компании; группы программ-вымогателей и хищения данных BianLian и RedLine; а также известный российский наркорынок на темной сети Blacksprut. Aeza не только обеспечивает хостинг для Blacksprut, но и участвует в построении его технической архитектуры. Согласно данным OFAC, Blacksprut широко используется для глобальной дистрибуции фентанила и других синтетических наркотиков, создавая серьезную угрозу общественной безопасности.

Анализ MistTrack

Согласно анализу блокчейн-платформы противодействия отмыванию денег и отслеживания транзакций MistTrack, адрес, подпадающий под санкции (TU4tDFRvcKhAZ1jdihojmBWZqvJhQCnJ4F), стал активным с 2023 года и получил в общей сложности более 350 тысяч долларов США в USDT.

По данным анализа MistTrack, данный адрес взаимодействовал со следующими субъектами:

• выводил активы на ряд известных криптовалютных бирж и платформ OTC, таких как Cryptomus и WhiteBIT, для отмывания средств;

• связан с заблокированными организациями, такими как Garantex и Lumma;

• обеспечивал взаимодействие с сервисами по краже данных в модели Stealer-as-a-Service, продвижение которых осуществлялось в Telegram;

• имеет связи с адресами, связанными с наркорынком на темной сети Blacksprut.

Согласно анализу функции контрагентов MistTrack, распределение взаимодействия этого адреса выглядит следующим образом:

Кроме того, мы обнаружили, что 2 июля Telegram-канал Aeza оставался активным: администраторы опубликовали резервные URL-адреса на случай, если у пользователей возникнут проблемы со входом на основной сайт:

По результатам проверки дата регистрации обоих резервных сайтов совпадает с днем объявления OFAC о санкциях против Aeza.

Заключение

Санкции против группы Aeza указывают на то, что глобальное регулирование переносит акцент воздействия с самих киберпреступников на технологическую сеть обеспечения их деятельности. Провайдеры хостинга, средства анонимной коммуникации и платежные каналы становятся новым фокусом комплаенс-контроля. Для компаний, бирж и провайдеров услуг процедуры KYC/KYT переходят из разряда «опциональных» в категорию обязательных: любое непреднамеренное установление деловых связей с объектами повышенного риска может повлечь риски вторичных санкций.