печерський районний суд міста києва
УХВАЛА

ІМЕНЕМ УКРАЇНИ

24 квітня 2024 року слідчий суддя Печерського районного суду м. Києва - ОСОБА_1 , при секретарі ОСОБА_2 , розглянувши у відкритому судовому засіданні клопотання старшого слідчого в ОВС 2-го відділу (розслідування транснаціональних злочинів) управління міжнародної комунікації Головного слідчого управління Національної поліції України ОСОБА_3 про тимчасовий доступ до речей та документів при виконанні запиту компетентного органу США про надання правової допомоги у кримінальній справі за фактами використання групою осіб програм-вимагачів «Hermes 2.1» та «Ryuk» (CRM-182-67432), -

ВСТАНОВИВ:

До провадження слідчого судді Печерського районного суду міста Києва ОСОБА_1 , надійшло клопотання старшого слідчого в ОВС 2-го відділу (розслідування транснаціональних злочинів) управління міжнародної комунікації Головного слідчого управління Національної поліції України ОСОБА_3 про тимчасовий доступ до речей та документів при виконанні запиту компетентного органу США про надання правової допомоги у кримінальній справі за фактами використання групою осіб програм-вимагачів «Hermes 2.1» та «Ryuk» (CRM-182-67432).

Слідчий у судове засідання не з`явилась, проте подала письмову заяву про розгляд клопотання за її відсутності, в якій клопотання з викладених у ньому підстав підтримала, просила задовольнити.

На підставі ч. 2 ст. 163 КПК України слідчий суддя визнав за можливе проводити розгляд клопотання без виклику особи, у володінні якої знаходяться речі і документи.

Згідно норми ч. 4 ст. 107 КПК України фіксація за допомогою технічних засобів під час розгляду клопотання слідчим суддею не здійснювалась.

З матеріалів клопотання вбачається, що Другим відділом (розслідування транснаціональних злочинів) управління міжнародної комунікації Головного слідчого управління Національної поліції України за дорученням Офісу Генерального прокурора здійснюється виконання запиту компетентного органу США про надання правової допомоги у кримінальній справі за фактами використання групою осіб програм-вимагачів «Hermes 2.1» та «Ryuk» (CRM-182-67432) (далі - запит).

Зі змісту Запиту та долучених до нього документів встановлено, що Прокуратура Сполучених Штатів Америки по округу Аляски, Секція по боротьбі зі злочинами у сфері комп`ютерних технологій та інтелектуальної власності Департаменту юстиції Сполучених Штатів Америки та Федеральне бюро розслідувань («ФБР») (далі разом - «органи юстиції США») проводять розслідування порушення кримінального законодавства у зв`язку з різновидами вірусів- вимагачів «Hermes 2.1» та «Ryuk», які інфікували жертв по всьому світу та завдали значної шкоди. Органи влади США вважають, що докази, які мають відношення до цього розслідування, знаходяться в Україні, а саме: записи абонентських рахунків для 20 ІР-адрес, які ведуть до українських провайдерів: ІНФОРМАЦІЯ_4 ( НОМЕР_1 ), TOB « ІНФОРМАЦІЯ_1 »» ( ІНФОРМАЦІЯ_1 ), TOB « ІНФОРМАЦІЯ_3 » ( ІНФОРМАЦІЯ_3 ), TOB « ІНФОРМАЦІЯ_5 » ( ІНФОРМАЦІЯ_5 ), ІНФОРМАЦІЯ_7 ( ІНФОРМАЦІЯ_7 ), TOB « ІНФОРМАЦІЯ_9 » (ІНФОРМАЦІЯ_9) та ПрАТ « ІНФОРМАЦІЯ_10 » ( ІНФОРМАЦІЯ_10 ), а також вміст сервера, розміщеного на ОСОБА_4 ( НОМЕР_1 ). Органи влади США вважають, що сервери, пов`язані з цими IP-адресами, можуть містити докази, що мають відношення до розслідування, в тому числі інформацію, яка допоможе встановити особу та місцезнаходження особи або осіб, які використовують різновиди вірусів-вимагачів « Hermes 2.1 » та «Ryuk».

Після зараження вірусами «Hermes 2.1» або «Ryuk» комп`ютерні мережі жертв стають непрацездатними доти, доки жертва не сплатить викуп. Яскравими прикладами руйнівного впливу «Ryuk» є відключення цілих систем у містах США, а також виведення з ладу лікарень і реанімаційних центрів по всьому світу, що призвело до затримок у наданні допомоги пацієнтам і ускладнило доступ лікарів до історій хвороб пацієнтів. Серед найбільш відомих прикладів руйнівного впливу вірусу «Ryuk» можна назвати такі:

- У вересні 2020 року великий постачальник медичних послуг у США був інфікований вірусом « Ryuk ». Постачальник медичних послуг був змушений відключити системи у своїх медичних установах, серед яких понад два десятки лікарень і сотні інших медичних закладів у США та Великій Британії. Початкова сума викупу становила понад 34 мільйони доларів. Починаючи з 2018 року, вірус « Ryuk » так само атакував інші лікарні та центри інтенсивної терапії по всьому світу, спричиняючи затримки в наданні допомоги пацієнтам і перешкоджаючи доступу лікарів до історій хвороб пацієнтів.

- У листопаді 2019 року вірус « Ryuk » інфікував провайдера хмарного хостингу, який обслуговує будинки перестарілих по всій території США. За словами жертви, вірус « Ryuk » поширився мережами будинків перестарілих, шифруючи комп`ютери та виводячи з ладу понад 80000 комп`ютерів у 110 лікарнях та будинках перестарілих. В результаті інфекції багато будинків перестарілих втратили доступ до історій хвороб, не змогли вчасно замовити ліки для пацієнтів, а також втратили електронну пошту і телефонний зв`язок. Зловмисники вимагали викуп у розмірі 14 мільйонів доларів, який компанія відмовилася сплатити, натомість розпочала тривалий і ресурсоємний процес відновлення своїх систем. Починаючи з 2018 року, вірус « Ryuk » так само атакував інші лікарні та центри інтенсивної терапії по всьому світу, спричиняючи затримки в обслуговуванні пацієнтів і перешкоджаючи доступу лікарів до медичних карток пацієнтів.

- У червні 2019 року комп`ютерна мережа одного з міст на півдні США була інфікована вірусом « Ryuk ». За словами постраждалих, файли міста були зашифровані, а більшість міських систем були виведені з ладу. Інфекція вплинула на міську електронну пошту, водяні насоси та різні міські офіси. Зрештою, місто заплатило шестизначний викуп, щоб відновити доступ до своїх систем. Десятки інших муніципалітетів зазнали подібного впливу вірусу «Ryuk» з моменту появи програми-вимагача.

У ході розслідування органи влади США змогли ідентифікувати групу осіб, які разом використовували інфраструктуру та комунікаційні платформи для спільної роботи над атаками з використанням вірусу-вимагача « Ryuk ». 21 січня 2021 року в комунікаціях між членами цієї групи неодноразово використовувалася URL- адреса ІНФОРМАЦІЯ_15, а також пов`язані з нею ім`я користувача та пароль, які вказували на посилання як на тестовий сервер для зразків програм-вимагачів. Загальнодоступні записи вказують на те, що ця ІР-адреса НОМЕР_2 веде до серверів НОМЕР_1 , розташованих в Україні.

Додаткові слідчі дії дозволили виявити низку облікових записів на різних антивірусних послугах, які активно використовувалися для тестування зразків вірусу-вимагача « Ryuk » до того, як було виявлено, що їх продовжують використовувати. Доступ до цих акаунтів здійснювався з ІР-адрес, що належать телекомунікаційним провайдерам в Україні. Кіберзлочинці часто використовують СAV-послуги для перевірки файлів своїх програм-вимагачів, щоб визначити, чи будуть ці файли розпізнані легальними антивірусними послугами. Якщо файл позначений послугою як шкідливий, зловмисники можуть модифікувати код таким чином, щоб після розгортання шкідливе програмне забезпечення не було виявлено. Записи послуг CAV показують, що було проведено кілька тестів файлів з однаковими іменами, але різними хеш-значеннями, деякі з яких виявилися позитивними на вірус « Ryuk ». Файли, які не були протестовані як « Ryuk » на жодній з антивірусних платформ, незважаючи на те, що вони є програмою-вимагачем « Ryuk », вказував би зловмисникам, що файл готовий до використанні проти жертви.

Актори «Ryuk» використовували послуги VPN для входу до провайдера CAV, а органи влади США розслідували використовувані ними послуги VPN. Органи влади США виявили, що VPN-акаунти, які належать акторам з акаунтами Ryuk , були доступні через ІР-адреси, пов`язані з провайдерами телекомунікаційних послуг в Україні. Наступні логіни були пов`язані з акаунтами VPN, які використовувалися для доступу до облікових записів пов`язаних з « Ryuk » провайдерів послуг CAV:

IP-адреси, що належать ПрАТ « ІНФОРМАЦІЯ_10 » ( ІНФОРМАЦІЯ_10 ):

НОМЕР_3 - 30 червня 2021 року;

НОМЕР_6 - з 13 серпня 2021 року по 14 серпня 2021 року;

НОМЕР_4 - 6 липня 2021 року.

З метою повного, всебічного та об`єктивного дослідження обставин кримінального провадження виникла необхідність у здійсненні тимчасового доступу до інформації, яка містить охоронювану законом таємницю, що перебуває у володінні ПрАТ « ІНФОРМАЦІЯ_10 » (ЄДРПОУ НОМЕР_5 ), що зареєстроване за адресою: АДРЕСА_1 .

Відповідно до ч. 1 ст. 562 КПК України, якщо для виконання запиту компетентного органу іноземної держави необхідно провести процесуальну дію, виконання якої в Україні можливе лише з дозволу прокурора або суду, така дія здійснюється лише за умови отримання відповідного дозволу в порядку, передбаченому цим Кодексом, навіть якщо законодавство запитуючої сторони цього не передбачає. Підставою для вирішення питання щодо надання такого дозволу є матеріали звернення компетентного органу іноземної держави.

Тимчасовий доступ до речей і документів, у відповідності до ч. 1 ст. 159 КПК України полягає у наданні стороні кримінального провадження особою, у володінні якої знаходяться такі речі і документи, можливості ознайомитися з ними, зробити їх копії та, у разі прийняття відповідного рішення слідчим суддею, судом, вилучити їх (здійснити їх виїмку).

Згідно ч. 6 ст. 163 КПК України слідчий суддя, суд постановляє ухвалу про надання тимчасового доступу до речей і документів, які містять охоронювану законом таємницю, якщо сторона кримінального провадження, крім обставин, передбачених частиною п`ятою цієї статті, доведе можливість використання як доказів відомостей, що містяться в цих речах і документах, та неможливість іншими способами довести обставини, які передбачається довести за допомогою цих речей і документів.

Слідчий суддя дослідивши клопотання та долучені до нього документи дійшов висновку про наявність підстав для надання тимчасового доступу до інформації, яка знаходиться у ПрАТ « ІНФОРМАЦІЯ_10 », оскільки вказаний захід забезпечення кримінального провадження дійсно спрямований на отримання доказів та перевірку вже отриманих доказів у кримінальному провадження.

На підставі викладеного і керуючись ст.ст. 159-164, 309, 372, 562 КПК України, слідчий суддя, -

УХВАЛИВ:

Клопотання - задовольнити.

Надати дозвіл старшому слідчому в ОВС 2-го відділу (розслідування транснаціональних злочинів) управління міжнародної комунікації Головного слідчого управління Національної поліції України ОСОБА_3 , начальнику 2-го відділу (розслідування транснаціональних злочинів) управління міжнародної комунікації Головного слідчого управління Національної поліції України ОСОБА_7 , старшому слідчому в ОВС 2-го відділу (розслідування транснаціональних злочинів) управління міжнародної комунікації Головного слідчого управління Національної поліції України ОСОБА_8 , старшому слідчому в ОВС СУ ГУНП в Київській області ОСОБА_9 , слідчому слідчого відділення відділу поліції №1 Бучанського районного управління поліції Головного управління Національної поліції в Київській області ОСОБА_10 , на тимчасовий доступ та можливість вилучення копій документів та інформації, що перебуває у володінні ПрАТ « ІНФОРМАЦІЯ_10 » (ЄДРПОУ НОМЕР_5 ), що зареєстроване за адресою: АДРЕСА_1 , а саме інформації, яка містить охоронювану законом таємницю, включаючи всі записи, які ідентифікують клієнтів, а саме:

1) Ім`я та прізвище, адреси (фізичні та електронні), пов`язані з абонентом(ами);

2) Всі імена користувачів, адреси електронної пошти, номери телефонів та будь- які інші ідентифікатори облікових записів;

3) Усі пов`язані з ним відновлювальні або вторинні облікові записи, або облікові записи, які іншим чином пов`язані з обліковим записом користувача або асоційовані з ним;

4) Інформація про реєстрацію IP-адреси та історія ІР-адрес;

5) Будь-які зареєстровані зміни в деталях облікового запису, таких як адреса електронної пошти, ім`я користувача і т.д;

6) Записи про час і тривалість сеансів, метод(и) з`єднання (наприклад, telnet, ftp, http) і тимчасово призначені мережеві адреси (наприклад, адреси Інтернет- протоколу ("IP"), пов`язані з цими сеансами);

7) Будь-які зареєстровані зміни в даних облікового запису, таких як адреса електронної пошти, ім`я користувача і т.д;

8) Тривалість і тип послуг для власника облікового запису;

9) Платіжні реквізити та способи оплати послуг (включаючи банківські рахунки, кредитні картки, криптовалютні рахунки та адресу для виставлення рахунків);

10) Всі доступні журнали, включаючи журнали мережевих з`єднань;

11) Будь-які повідомлення до, від або від імені власника облікового запису, включно з повідомленнями персоналу служби підтримки або служби боротьби зі зловживаннями від постачальника послуг інтернету;

12) А також будь-які IP-адреси, що належать одному користувачеві, включаючи, але не обмежуючись ними, облікові записи, пов`язані через вторинні облікові записи або облікові записи для відновлення, адреси електронної пошти, SMS або телефонні номери, інформацію про виставлення рахунків, файли кукі (cookie) та IP-адреси для входу в систему, що використовували такі ІР-адреси:

НОМЕР_3 - 30 червня 2021 року;

НОМЕР_6 - з 13 серпня 2021 року по 14 серпня 2021 року;

НОМЕР_4 - 6 липня 2021 року.

Визначити строк дії ухвали тривалістю два місяці, який обраховувати з дня постановлення ухвали слідчим суддею.

У разі невиконання ухвали про тимчасовий доступ до речей і документів слідчий суддя, суд за клопотанням сторони кримінального провадження, якій надано право на доступ до речей і документів на підставі ухвали, має право постановити ухвалу про дозвіл на проведення обшуку згідно з положеннями цього Кодексу з метою відшукання та вилучення зазначених речей і документів.

Ухвала оскарженню не підлягає.

Слідчий суддя ОСОБА_1

Ухвала виготовлена у двох примірниках.

Примірник № 1 знаходиться в матеріалах клопотання № 757/18594/24-к

Примірник № 2 наданий слідчому.

Слідчий суддя ОСОБА_1