Справа № 646/7480/16-к
№ провадження 1-кс/646/3324/2016
У Х В А Л А
І М Е Н Е М У К Р А Ї Н И
11.07.2016 року м.Харків

Слідчий суддя Червонозаводського районного суду м. Харкова ОСОБА_1

за участю секретаря ОСОБА_2 ,

розглянувши клопотання начальника відділу міжнародного співробітництва прокуратури Харківської області ОСОБА_3 про арешт майна в межах запиту прокуратури міста Фердена Федеративної республіки Німеччина № 822 AR 30483/15 від 31/07/2015 р. щодо надання міжнародної правової допомоги у кримінальній справі за фактом комп`ютерного шахрайства,

ВСТАНОВИВ:
11.07.2016 року в провадження Червонозаводського районного суду м. Харкова надійшло зазначене клопотання начальника відділу міжнародного співробітництва прокуратури Харківської області ОСОБА_3 про арешт майна, а саме: флеш накопичувач сірого кольору без номеру ємністю 4 Gb.
В обґрунтування свого клопотання слідчий зазначив, що до прокуратури Харківської області з дотриманням вимог ст.ст.554, 558 КПК України, 04.09.2015 з Генеральної прокуратури України надійшов запит прокуратури міста Фердена Федеративної Республіки Німеччина №822 АR 30483/15 від 31.07.2015 про надання міжнародної правової допомоги у кримінальній справі за фактом професійного комп`ютерного шахрайства щодо зобов`язання хостера: Xserver-IP-Network-2, приватного підприємця ОСОБА_4 надати дані про потоки інформації стосовно ІР-адреси НОМЕР_1 , проведення обшуку та вилучення серверу з ІР-адресою НОМЕР_1 , а також спостереження та запису потоків інформації пов`язаних з роботою вказаного серверу з вказаною ІР-адреою, який хостингом забезпечує приватний підприємець ОСОБА_4 , який здійснює свою підприємницьку діяльність за адресою: АДРЕСА_1 .

Прокурор зазначив, що згідно з запитом прокуратури міста Фердена ФРН встановлено, що прокуратурою міста Фердена проводиться розслідування фактів комп`ютерного шахрайства під час якого було встановлено, що потерпілим на комп`ютерну техніку находили електронні повідомлення з зазначенням прізвища та частково ім`я отримувача цих повідомлень. Згідно з цими повідомленнями їх отримувачу повідомлялось про те, що внаслідок укладання договорів, членства у різних організаціях, покупок в мережі Інтернет та інших дій в цій мережі у них виникли фінансові зобов`язання у розмірі декількох сотень євро. У додатку до цих повідомлень, які були надіслані самостійно, знаходились файли у форматі «ZIP», які містили інвойси-вимогу сплатити суму відповідної покупки, членських внесків тощо. Через відкриття файлів у форматі «ZIP» запускалась інша програма формату «.ехе» внаслідок чого на екрані комп`ютерної техніки з`являлось повідомлення, що ліцензія Windows не є чинною або є нелегальною (піратською). Щоб уникнути подальшого користування, система кодувалась. Таким чином при відкритті програми комп`ютерна техніка блокувалась, заміст цього на екрані (моніторі) з`являвся текст, у якому повідомлялось про заблокування (закодування) комп`ютера. З метою розблокування (розкодування) комп`ютерної техніки повідомлялось про необхідність оплатного придбання відповідного коду. При цьому сума за придбання так званого коду розблокування (розкодування) складала від 50 до 100 євро і покупка цього коду пропонувалась при сплаті через електронні платіжні системи uKash та PaysafeCard.

За результатами аналізу мережевої комунікації серверів у вищезазначеній кримінальній справі, за якими велося спостереження в рамках вищезазначеного комплексу процесів «Закодований троян Windows», службовими особами Центральної кримінальної поліції ФРН було встановлено, що на комп`ютерах цілого ряду систем потерпілим не було заблоковано екран, бо вони стали жертвами хакерської програми типу «Mеn in the Browser» (англ. - людина в браузері), яка втрутилася в їхню програму для інтерактивних банківських операцій.

Також встановлено, що у цих випадках йдеться про троянські програми під назвою URLzone (для McAfee) або також Bebloh (для Microsoft). Це означає, що комп`ютерні системи потерпілих, які заходять на так звані безпечні/зашифровані сторінки (НТТРS), одночасно передають дані, які потрібні для заповнення формулярів, а саме логінів та паролів, на контрольний сервер злочинців; отримання даних таким чином стосується усіх безпечних сторінок НТТРS, наприклад, електронної пошти, інтерактивних магазинів та програм для інтерактивних банківських операцій.

Якщо потерпіли мали гроші на банківському рахунку то упродовж 24 годин після цього на її систему надійде шифр, який потрібен для втручання в інтерактивну банківську систему, з даними фінансового агенту, до якого треба перерахувати гроші. Якщо комп`ютер інфіковано такою троянською програмою для отримання банківських даних, потерпілий отримує повідомлення, що він помилково одержав банківський переказ, який йому не належить, та він повинен повернути цей переказ. Через екран з банківськими операціями потерпілого та витяг з його розрахункового рахунку симулюється, що потерпілий помилково отримав чужі гроші. Отримувачем платежу у формулярі для переказу та у витягу з розрахункового рахунку зазначається третя особа/інститут, яка не причетна до цього, а дійсний отримувач платежу/фінансовий агент приховується від потерпілого.

Після цього потерпілі особи здійснювали грошові перекази, вважаючи, що грошовий переказ є правомірним.

Таким чином упродовж 2013-2015 років зареєстровано 857 таких шкідливих інтерактивних атак. Загальний збиток нараховує 5 012 144, 38 євро, тобто середня сума на одну шкідливу атаку складає 5 848,47 євро.

Користування такими програмами карається у Німеччині за кримінальним законодавством, як професійне комп`ютерне шахрайство.

При вчиненні вищезазначених злочинів злочинці користувались мережею проксі-серверів під назвою « ІНФОРМАЦІЯ_1 », які направляють інформацію з трояна до головного сервера, що ускладняє слідчі дії. Крім того, злочинці розробили складну техніку системи доменів (DNS) для забезпечення додаткової «стіни безпеки». Разом з цим, під час досудового розслідування вдалося встановити, що як система скачування, так і відповідна програма контактують з інфраструктурою бот-мережі через зазначені у програмі домени. Такі домени керуються через іменний сервер за допомогою адрес ІР, що постійно змінюються. Ці адреси ІР, що постійно змінюються, називаються серверами 1-го рівня. Ці сервери служать тільки яка проксі-сервери та направляють дані до серверів 2-го рівня. В свою чергу сервери 2-го рівня фільтрують потік даних за різними видами родин шкідливих програм та направляють дані до відповідних серверів 3-го рівня, які відповідають за конкретні родини шкідливих програм. Дані направляються до серверів 3-го рівня або зберігаються у базі даних. Через додаткові сервери злочинці мають доступ до цих даних зовні або надсилають їх собі.

Сукупна інфраструктура (тобто сервери 1-го та 2-го рівнів, а також іменні сервери) бот-мережі «Avalanche» управляються центральною системою наказів та управління. Така центральна система є так званою системою Free BSD. Усі конфігурації та дані, що стосуються цієї справи, кодуються та зберігаються в контейнері GELL.

Упродовж періоду часу з 1 серпня 2014 року до 15 червня 2015 року вдалося встановити приблизно 670 доменів, які розподіляються на 694 адрес ІР у глобальному масштабі. Ці ІР адреси належать допроксі-серверів першого рівня. У цей же період часу встановлено 11 серверів другого рівня та 9 серверів третього рівня.

За допомогою детального аналізу встановлено, що через інфраструктуру «Avalanche» шкідливими програмами щорічно інфікується 1 мільйон комп`ютерних систем з метою подальшого доступу до Інтерактивної банківської системи.

Внаслідок проведеного спостереження за потоками даних вдалося встановити усі причетні сервери (наказів та управління 2-го та 3-го рівня), зокрема і сервер з адресою ІР: НОМЕР_1 , яку хостингом забезпечує Xserver-IP-Network-2 приватний підприємець ОСОБА_4 , який здійснює свою діяльність за адресою: АДРЕСА_1 .

Також встановлено, що сервер з адресою ІР: НОМЕР_1 є фінальним (бекенд) сервером 3-го рівня і на ньому розташовано бази даних родин шкідливих програм.

Прокуратурою міста Фердена Федеративної Республіки Німеччина на підставі Європейської конвенції про взаємну допомогу у кримінальних справах 1959 року , направлено запит про надання міжнародної правової допомоги у кримінальній справі за фактами комп`ютерного шахрайства, виконання якого центральний орган Генеральна прокуратура України відповідно до вимог ст.ст.554, 558 КПК України доручила органам прокуратури Харківської області.

Прокурор зазначив, що з метою забезпечення повного та всебічного розгляду запиту прокуратури міста Фердена Федеративної Республіки Німеччина №822 АR 30483/15 від 31.07.2015 про надання міжнародної правової допомоги у кримінальній справі за фактом професійного комп`ютерного шахрайства, необхідно встановити місцезнаходження та вилучити сервер з ІР-адресою НОМЕР_1 , яку хостингом забезпечує Xserver-IP-Network-2 приватний підприємець ОСОБА_4 , який здійснює свою підприємницьку діяльність за адресою: АДРЕСА_1 (кімнати 229-230). Крім того, необхідно встановити місцезнаходження та вилучити документи, що стосуються оренди та використання серверу з ІР-адресою НОМЕР_1 , яку хостингом забезпечує Xserver-IP-Network-2 приватний підприємець ОСОБА_4 .

Відповідно до інформаційної довідки з Державного реєстру речових прав на нерухоме майно та Реєстру прав власності на нерухоме майно, Державного реєстру Іпотек, Єдиного реєстру заборони відчуження об`єктів нерухомого майна щодо об`єкта нерухомого майна, номер довідки 62601748 від 02.07.2016:

-нежитлова будівля літ. «А-6» площею 10664,4 кв.м., нежитлова будівля літ. «Б-1» площею 27,9 кв.м., за адресою: АДРЕСА_2 , належать на праві колективної власності відкритому акціонерному товариству «Харківський Водоканалпроект»;

-нежитлова будівля літ. «В-1» загальною площею 168,6 кв.м., за адресою: АДРЕСА_2 , належить на праві приватної власності ОСОБА_5 .

Ухвалою слідчого судді Червонозаводського районного суду м.Харкова ОСОБА_6 від 05.07.2016 частково задоволено клопотання начальника відділу міжнародного співробітництва прокуратури Харківської області ОСОБА_3 про проведення обшуку, та надано дозвіл на проведення обшуку за адресою: АДРЕСА_3 , що належать на праві колективної власності відкритому акціонерному товариству «Харківський Водоканалпроект». В частині проведення обшуку нежитлового приміщення літ. «В-1» загальною площею 168,6 кв.м., за адресою: АДРЕСА_2 , що належить на праві приватної власності ОСОБА_5 , цією ж ухвалою слідчого судді відмовлено.

08.07.2016 проведено обшук за адресою: АДРЕСА_4 , кімнати №229-230, що належать на праві колективної власності відкритому акціонерному товариству «Харківський Водоканалпроект» та перебуває в оренді у приватного підприємця ОСОБА_4 .

Під час проведення обшуку виявлені наступні предмети: флеш накопичувач сірого кольору без номеру ємністю 4 Gb.

На підставі викладеного, прокурор зазначив, що є необхідність накладення заборони розпоряджатись флеш накопичувачем сірого кольору без номеру ємністю 4 Gb з метою запобігання спотворення, знищення, втрати, приховування, а також видалення даних на цифровому носії, що може зашкодити проведенню досудового розслідування у кримінальній справі за фактом професійного комп`ютерного шахрайства (запит прокуратури міста Фердена Федеративної Республіки Німеччина №822 АR 30483/15 від 31.07.2015)

В судовому засіданні прокурор, слідчий підтримали клопотання та просили його задовольнити.
Вислухавши осіб, які беруть участь у справі, дослідивши матеріали клопотання, слідчий суддя приходить до наступного.
Відповідно до норм ст. 561 КПК України, на території України з метою виконання запиту про надання міжнародної правової допомоги можуть бути проведені будь-які процесуальні дії, передбачені цим Кодексом або міжнародним договором.
Згідно з положеннями ч.1 ст. 562 КПК України, якщо для виконання запиту компетентного органу іноземної держави необхідно провести процесуальну дію, виконання якої в Україні можливе лише з дозволу прокурора або суду, така дія здійснюється лише за умови отримання відповідного дозволу в порядку, передбаченому цим Кодексом, навіть якщо законодавство запитуючої сторони цього не передбачає. Підставою для вирішення питання щодо надання такого дозволу є матеріали звернення компетентного органу іноземної держави.
Відповідно до вимог ст. 558 КПК України строк виконання запиту прокуратури міста Фердена Федеративної Республіки Німеччина №822 АR 30483/15 від 31.07.2015 про надання міжнародної правової допомоги у кримінальній справі за фактом професійного комп`ютерного шахрайства подовжено до 08.07.2016 року відповідно до листа Генеральної прокуратури України від 05.05.2016 за № 14/3-30617-13.

Частиною другою статті 170 КПК України передбачено, що слідчий суддя або суд під час судового провадження накладає арешт на майно у вигляді речей, якщо є достатні підстави вважати, що вони відповідають критеріям, зазначеним у частині другій статті 167 цього Кодексу.
Відповідно до ч.2 ст. 167 КПК України тимчасово вилученим може бути майно у вигляді речей, документів, грошей тощо, щодо яких є достатні підстави вважати, що вони: підшукані, виготовлені, пристосовані чи використані як засоби чи знаряддя вчинення кримінального правопорушення та (або) зберегли на собі його сліди; надані особі з метою схилити її до вчинення кримінального правопорушення, фінансування та (або) матеріального забезпечення кримінального правопорушення чи як винагорода за його вчинення; є предметом кримінального правопорушення, пов`язаного з їх незаконним обігом; набуті в результаті вчинення кримінального правопорушення, доходи від них, або на які було спрямоване кримінальне правопорушення.
Згідно з ч. 2 ст. 170 КПК України слідчий суддя або суд під час судового провадження накладає арешт на майно у вигляді речей, якщо є підстави вважати, що вони відповідають критеріям ч. 1 ст. 167 КПК України тимчасово вилученого майна.

Відповідно до ч. 2 ст.173 КПК України при вирішенні питання про арешт майна слідчий суддя, суд повинен враховувати: правову підставу для арешту майна; достатність доказів, що вказують на вчинення особою кримінального правопорушення; розмір можливої конфіскації майна, можливий розмір шкоди, завданої кримінальним правопорушенням, та цивільного позову; наслідки арешту майна для інших осіб; розумність та співрозмірність обмеження права власності завданням кримінального провадження.
Проаналізувавши доводи клопотання та додані до нього докази, а також доводи сторін, слідчий суддя приходить до висновку про наявність підстав для задоволення клопотання.
Фіксування процесу технічними засобами відповідно до положень статті 107 КПК України не здійснювалось.
На підставі викладеного, керуючись ст. ст. 167, 170-173, 175, 237 КПК України,
У Х В А Л И В:
Клопотання начальника відділу міжнародного співробітництва прокуратури Харківської області ОСОБА_3 про арешт майна в межах запиту прокуратури міста Фердена Федеративної республіки Німеччина № 822 AR 30483/15 від 31.07.2015 р. щодо надання міжнародної правової допомоги у кримінальній справі за фактом комп`ютерного шахрайства - задовольнити.
Накласти арешт на флеш накопичувач сірого кольору без номеру ємністю 4 Gb.
Ухвала підлягає негайному виконанню. Ухвала може бути оскаржена до суду Харківської області протягом п`яти днів з дня її оголошення.
Слідчий суддя ОСОБА_1