Справа № 296/3467/18
У Х В А Л А
Іменем України

18 квітня 2018 року м.Житомир

Слідчий суддя Корольовського районного суду м.Житомира ОСОБА_1 , за участю секретаря ОСОБА_2 , розглянувши клопотання старшого слідчого в ОВС СУ ГУНП в Житомирській області майора поліції ОСОБА_3 про тимчасовий доступ до речей і документів ПАТ « ІНФОРМАЦІЯ_1 », поданого на виконання запиту компетентних органів Королівства Бельгія про надання міжнародної правової допомоги у кримінальній справі № FD20.RD.302557/16-FA6.45/17 за фактами несанкціонованого втручання в роботу електронно-обчислювальних машин, -

ВСТАНОВИВ:

16.04.2018 слідчий звернулася до Корольовського районного суду м.Житомира з клопотанням про тимчасовий доступ до речей і документів.

В обґрунтування поданого клопотання вказала, що до СУ ГУНП в Житомирській області надійшов запит компетентних органів Королівства Бельгія про надання міжнародної правової допомоги у кримінальній справі № FD20.RD.302557/16-FA6.45/17 за фактами несанкціонованого втручання в роботу електронно-обчислювальних машин.

Викладення фактів вчинення кримінальних правопорушень: починаючи з серпня 2016 року, моє відомство розслідує карну справу щодо піратського вірусу Cryakl (шкідливого програмного забезпечення, яке належить до типу вірусу шифрувальника-вимагача). Недавня кампанія з розповсюдження вірусу привезла протягом минулого року до понад 300 інцидентів в Бельгії.

Cryakl це відносно стара версія вірусу шифрувальника-вимагача, який з`явився в квітні 2014 року і ще є досить активним. Зараження здійснюється, головним чином через електронну пошту. Жертва отримує електронного листа з додатком. Щойно жертва відкриває додаток, як вірус встановлюється на комп`ютер. Вірус кодує всі файли на комп`ютері, після чого про це на екрані у жертви з`являється повідомлення та інструкції з вимогою здійснити оплату в Біткойнах. Можливо мова йдеться про нову версію Cryakl.

Цей процес контролюється сервером « ІНФОРМАЦІЯ_2 » (C&C або С2). Цей контрольний сервер отримує повідомлення від встановлених на інфікованих пристроях шкідливих програм та відсилає їм відповідні інструкції, у тому числі про те, як зробити оплату та отримати ключ для розкодування. Іншими словами, на сервері C&C можна побачити сліди цієї кампанії з розповсюдженням вірусу та злочинця або злочинної групи, які керують цією кампанією.

У рамках розслідування відділ поліції FCCU (Федеральний відділ боротьби з кіберзлочинністю) дізнався з надійних джерел, що в Нідерландах і Німеччині знаходяться два активних сервери « ІНФОРМАЦІЯ_2 » (C&C), із допомогою яких відбувається комунікація з встановленими на інфікованих комп`ютерах шкідливими програмами.

У рамках прохання про надання юридичної допомоги, нідерландськими та німецькими органами було надіслано запит про надання слідству ідентифікаційних даних власників ІР - адрес, що пов`язані з цими двома C&C серверами, а також отриманих у судовому порядку копії носіїв даних і оперативної пам`яті цих серверів.

Фахівці FCCU та незалежний судовий експерт зробили аналіз результатів, отриманих із Німеччини та Нідерландів у жовтні 2016 року. Як виявляється нідерландський сервер є так званим «сервером філією», тобто сервером, який використовується підозрюваними особами, що

придбали технологію шкідливого програмного забезпечення у іншої злочинної діяльності та почали цілеспрямовану кампанію. Ознаки відповідної злочинної діяльності на нідерландському сервері, пов`язаної з Cryakl, можна побачити в папках і файлах під назвою користувача «Administrator» та (видаленими) назвами користувачів «atom», «Metamorf» і «paulEl».

А німецький сервер, як видно, є сервером який контролюють розробники технології шкідливого програмного забезпечення, до якого підключаються різні «філії» (у тому числі нідерландський сервер) з метою проведення своєї злочинної діяльності. Ознаки відповідної злочинної діяльності на німецькому сервері пов`язаної з Cryakl, можна побачити в папках і файлах під назвою користувача « ОСОБА_4 ». Доступ до облікового запису користувача був закодований дуже складним паролем.

Аналіз обох серверів показав наявність серії слідів, наприклад адрес електронної пошти та ІР - адрес, за допомогою яких злочинці з`єднувались з цими серверами. Подальші дії повинні надати можливість ідентифікувати та локалізувати підозрюваних у цій кампанії з розповсюдження шкідливих програм осіб.

Аналіз отриманих у судовому порядку даних із німецького серверу C&C показав наявність у файлах системного журналу серії українських ІР-адрес, які належать або особам, що успішно з`єднувались з обліковими записом користувача « ІНФОРМАЦІЯ_3 », або підозрілими особами із «серверів-філій», які таким чином отримують інформацію про своїх жертв. Відповідний сервер C&C звичайно має різні веб-сторінкита скрипти, за допомогою яких через веб-інтерфейс можна отримувати інформацію з бази даних SQL, яка містить інформацію про інфікованих шкідливим програмним забезпеченням жертв.

Таким чином, подальше розслідування щодо цих ІР - адрес надасть вкрай важливу інформацію, яка допоможе ідентифікувати та локалізувати підозрюваних в даних діях осіб та виявити кримінальну інфраструктуру кампанії з розповсюдження шкідливого програмного забезпечення Cryakl (наявна інформація щодо українських ІР - адрес, провайдера послуг, якому належить відповідна ІР-адреса, загальну кількість зареєстрованих з`єднань таких ІР-адреса із сервером C&C та час останнього з`єднання).

ІР-адреса Відмітка часу Країна Інтернет - провайдер Кількість

НОМЕР_1 28.01.2015, 23:04:56 UTC +1 Україна,

Житомирська обл. ПАТ « ІНФОРМАЦІЯ_1 » 4

(ІР-адресу НОМЕР_2 о 23:04:56 (UTC+1) використовував споживач за адресою: АДРЕСА_1 , абонент ОСОБА_5 , телефон № НОМЕР_3 , ідентифікаційний код абонента - НОМЕР_4 , паспорт серія НОМЕР_5 ).

Враховуючи вищевказане, у розслідуванні зазначених вище злочинів виникла необхідність в отримані інформації, яка містить охоронювану законом таємницю та знаходиться у ПАТ « ІНФОРМАЦІЯ_1 », а саме безпосередньо у Житомирській філії ПАТ « ІНФОРМАЦІЯ_1 », юридична адреса: АДРЕСА_2 .

Відповідно до ст. 561 КПК України (процесуальні дії, які можуть бути проведені в порядку надання міжнародної правової допомоги на території України з метою виконання запиту про надання міжнародної правової допомоги можуть бути проведені будь-які процесуальні дії, передбачені цим Кодексом або міжнародним правом).

У зв`язку з висловленням іноземною державою застереження щодо конфіденційності інформації, слідчий про при розгляді даного клопотання просив звернути увагу на необхідності дотримання вимог ст. 556 КПК України щодо забезпечення конфіденційності факту отримання запиту про міжнародну правову допомогу, його змісту та відомостей, отриманих у результаті його виконання.

Також, у відповідності до п.4 ст.4 Закону України «Про доступ до судових рішень», про внесення рішення суду за запитом до реєстру з обмеженим доступом, з метою забезпечити конфіденційність факту отримання запиту про міжнародну правову допомогу.

Слідчий подала заяву про розгляд справи без її участі, вимоги келопотання підтримала та просила задовольнити.

Дослідивши матеріали клопотання та враховуючи, що в матеріалах кримінального

провадження вбачається наявність достатніх підстав вважати, що вказані документи, які містять інформацію про зазначені вище ІР-адреси, та відносяться до охоронюваної законом таємниці, мають суттєве значення для розкриття ряду злочинів за фактами несанкціонованого втручання в роботу електронно обчислюваних машин та притягнення до відповідальності винних осіб, з`ясування повних обставин вчинення злочинів, отримання інформації, яку б можна було використати у кримінальній справі як доказ, а також встановлення інших важливих обставин у розкритті кримінальних правопорушеннях, необхідно отримати тимчасовий доступ до інформації та документів, які знаходяться в Житомирській філії ПАТ « ІНФОРМАЦІЯ_1 », керуючись ст. ст. 40, 131, 132, 159-164 КПК України,

УХВАЛИВ:

Надати дозвіл на проведення тимчасового доступу до інформації, яка знаходяться у Житомирській філії ПАТ « ІНФОРМАЦІЯ_1 », що знаходиться за адресою: АДРЕСА_2 ( ПАТ « ІНФОРМАЦІЯ_1 », юридична адреса: АДРЕСА_3 ), з подальшим вилученням наступної інформації щодо ІР-адрес:

ІР-адреса Відмітка часу Країна Інтернет - провайдер Кількість

НОМЕР_1 28.01.2015, 23:04:56 UTC +1 Україна,

Житомирська обл. ПАТ « ІНФОРМАЦІЯ_1 » 4

(ІР-адресу НОМЕР_2 о 23:04:56 (UTC+1) використовував споживач за адресою: АДРЕСА_1 , абонент ОСОБА_5 , телефон № НОМЕР_3 , ідентифікаційний код абонента - НОМЕР_4 , паспорт серія НОМЕР_5 ), а саме:

1. Повні ідентифікаційні дані власників, орендарів та/або користувачів вказаних ІР-адрес на вказаний момент часу, у тому числі наявні дані й документи щодо контрактних відносин, виставлення рахунків та оплати;

- якщо таким чином ідентифікований власник, орендатор та/або користувач на даний момент часу все-ще є власником відповідної ІР-адрес, то надати про це підтвердження.

2. Відносно таким чином ідентифікованих осіб, не повідомляючи їх про це - зібрати необхідну контекстну інформацію: фактичне місце проживання, чи підозрювались вони раніше або чи були притягнуті до відповідальності за факти, пов`язані з інформаційними системами, або чи мають вони контакти з іншими особами, які підозрювались або були притягнуті до відповідальності за факти, пов`язані з інформаційними системами.

3. У випадку якщо ідентифіковані ІР-адреси з`єднані з одним із серверів, то при наявності надати перелік ІР-адрес, комунікаційних протоколів та номерів портів, із яких у минулому було встановлено з`єднання з цими серверами, або за допомогою чого ці сервери забезпечували з`єднання, вказавши час та тривалість з`єднань («повні мережеві журнали»).

4. У випадку якщо ідентифіковані ІР-адреси з`єднані з одним із серверів надати копію носіїв даних цих серверів.

5. У випадку якщо ідентифіковані ІР-адреси з`єднані з одним із серверів - отримати копію оперативної пам`яті цих серверів (виключно у випадку, якщо це не нашкодить роботі серверу протягом певного часу).

6. У випадку якщо ідентифіковані ІР-адреси належали приватному користувачу клієнту ПАТ « ІНФОРМАЦІЯ_1 » і якщо, згідно з зібраною відповідно до пункту 2 контекстною інформацією, такий користувач може бути причетним до вказаних дій , то при наявності надати перелік ІР-адрес, комунікаційних протоколів та номерів портів, із яких або за допомогою яких у минулому цей користувач встановлював з`єднання, вказавши точний час і тривалість з`єднань («повні мережеві журнали»).

Доручити виконання ухвали слідчого судді про проведення тимчасового доступу до речей і документів старшому слідчому в ОВС СУ ГУНП в Житомирській області майору поліції ОСОБА_3 .

Строк дії ухвали не може перевищувати одного місяця з дня її постановлення.

Ухвала оскарженню не підлягає, заперечення на ухвалу можуть бути подані під час підготовчого провадження в суді.

Центр телекомунікаційних послуг ПАТ « ІНФОРМАЦІЯ_1 », як володілець речей або документів, зобов`язаний надати тимчасовий доступ до зазначених в ухвалі речей і документів та можливість їх вилучити.

Згідно ст.166 КПК України, у разі невиконання ухвали про тимчасовий доступ до речей і документів слідчий суддя, суд за клопотанням сторони кримінального провадження, якій надано право на доступ до речей і документів на підставі ухвали, має право постановити ухвалу про дозвіл на проведення обшуку згідно з положеннями цього Кодексу з метою відшукання та вилучення зазначених речей і документів.

Слідчий суддя ОСОБА_1