печерський районний суд міста києва
У Х В А Л А
ІМЕНЕМ УКРАЇНИ
20 березня 2017 року слідчий суддя Печерського районного суду м. Києва ОСОБА_1 , при секретарі ОСОБА_2 , за участю сторони кримінального провадження слідчого СГ ГСУ НП України капітана поліції ОСОБА_3 , розглянувши в судовому засіданні в приміщенні суду в м. Києві клопотання старшого слідчого в ОВС ГСУ НП України майора поліції ОСОБА_4 про тимчасовий доступ до речей та документів, -

В С Т А Н О В И В:
В провадженні слідчого судді Печерського районного суду м. Києва ОСОБА_1 надійшло клопотання старшого слідчого в ОВС ГСУ НП України майора поліції ОСОБА_4 за погодженням з прокурором відділу ГПУ ОСОБА_5 про надання дозволу на тимчасовий доступ до речей та документів.

Згідно норми ч. 1 ст. 107 КПК України фіксація під час розгляду клопотання слідчим суддею за допомогою технічних засобів не здійснювалась.

Слідчий СГ ГСУ НП України капітан поліції ОСОБА_3 , в судовому засіданні клопотання підтримав та просив його задовольнити.

На підставі ч. 2 ст. 163 КПК України слідчий суддя визнав за можливе проводити розгляд клопотання у відсутності особи, у володінні якої знаходиться речі і документи, з огляду на наявність достатніх підстав вважати, що існує реальна загроза зміни або знищення такої інформації.

Обґрунтовуючи внесене клопотання сторона кримінального провадження вказує, що Головним слідчим управлінням Національної поліції України здійснюється досудове розслідування у кримінальному провадженні, відомості до якого внесено16.06.2016 до Єдиного реєстру досудових розслідувань за № 0000120, за ознаками кримінальних правопорушень, передбаченого ч. 4 ст. 28, ч.1 ст. 361, ч. 4 ст. 190, ч. 3 ст. 258 -3 КК України.

Досудовим розслідуванням установлено, що до Генеральної прокуратури України від компетентних органів Федеративної Республіки Німеччина відповідно до Європейської конвенції про взаємну допомогу у кримінальних справах 1959 року та підставі принципу взаємності надійшло клопотання про перейняття кримінального провадження стосовно громадян України ОСОБА_6 і ОСОБА_7 .

Установлено, що зазначенні особи та інші учасники міжнародної злочинної організації, використовуючи мережу Інтернет, проникали до автоматизованих електронно-обчислювальних машин (комп`ютерів), їх систем, через які розповсюджували шкідливу комп`ютерну троянську програму « ІНФОРМАЦІЯ_1 » (банківський троян). Після інфікування комп`ютера шкідливою програмою, отримувалися банківські дані осіб, які в подальшому одержували повідомлення про помилкове зарахування грошових коштів на їх банківські рахунки та необхідність їх повернення. Для створення в потерпілого впевненості про справжність операції щодо перерахування грошових коштів, які йому не належать, через екран з його банківськими операціями відображається помилкове отримання коштів.

Переконавши потерпілого у правомірності передачі грошових коштів, він через банківський переказ перераховував власні грошові кошти. На формулярі для банківського переказу та на виписці банківських операцій як отримувач вказувалася третя особа.

Унаслідок таких шахрайських дій учасники організованої групи привласнили та легалізували грошові кошти на суму 5 999 381,76 євро.

Разом із цим установлено, що міжнародна злочинна організація з квітня 2012 року по 25 серпня 2016 року за допомогою додатка до електронного повідомлення, які замасковано під рахунки або вимоги до сплати, заразила мільйони приватних та службових комп`ютерних систем шкідливими програмами.

Також запитуючою стороною установлено, що ця злочинна організація оперує кількома сім`ями шкідливих програм через структуру ботів, зокрема:

Andromeda скачував для крадіжки ідентифікаційних даних, завантаження інших шкідливих програм;

Matsnu скачував з модульною структурою (спам, викуп, банківські операції);

Nymaim скачував з додатковими компонентами для завантаження;

Ranbyus банківський троян;

Rovnix троянська програма для крадіжки ідентифікаційних даних;

Urizone2 банківська троянська програма;

Smart-App мобільна банківська троянська програма для мобільних телефонів і планшетів;

VM Zeus/KINS банківська троянська програмавикрадення паролів;

Vawtrak програма закладка (бекдор) та банківська троянська програма;

Corebot троянська програма для викрадення ідентифікаційних даних;

Tinba/Tinyb банківська троянська програма.

Приховуючи свою злочинну діяльність, учасники зазначеної організації користувалися мережею із серверами «проксі», які спрямовували повідомлення троянської програми до центрального сервера. Цю мережу називають «Avalanche», яка є глобальною мережею серверів з центральним управлінням.
За адмініструваннямережі « ІНФОРМАЦІЯ_2 » відповідає ОСОБА_6 , який є головним злочинцем та має нік«grower». Також він скривався під вигаданими ніками: flux2, ffhost2.
З комунікації усіх серверів, за якими велося спостереження, установлено, що ОСОБА_6 (він же « ОСОБА_8 », він же « ОСОБА_9 », він же « ОСОБА_10 ») пропонує не тільки службу захищених від зловживання хостів та здає ці хости в оренду, а й надає такі хости для кримінального користування та пропонує клієнтам технічну підтримку. Окрім цього, він є адміністратором серверів з програмами-роботами.
Окрім цього, один із учасників міжнародної злочинної організації, ОСОБА_7 під ніком « ОСОБА_11 » дав оголошення на форумі про службу так званого захищеного від втручання сторонніх осіб хостингу. Також у цьому оголошенні йдеться про продаж доменів, зареєстрованих у Китайській Народній Республіці. Під його ім`ям також стоїть означення «BotNet Hosting» (англ. «хостингу програм-роботів). Таким чином, цей член форуму пропонує службу хостингу, захищеного від втручання сторонніх осіб (Bulletproof-Hosting). Для потенційних клієнтів такої служби надається акаунт, який навмисно передає помилкову інформацію
ІНФОРМАЦІЯ_3 ( ОСОБА_12 ,Канада) та 5.200.23.19 (SKdedited NL), за якими велося спостереження під час слідчих дій правоохоронними органами Федеративної Республіки Німеччина та які є серверами шкідливої інфраструктури програм-роботів « ІНФОРМАЦІЯ_2 », співпали з адресами ІР у австрійському слідстві. Згідно з отриманої інформації установлено, що у австрійських правоохоронних органів вони розташовують протоколами комунікацій у рамках спостереження за серверами, у яких йдеться і про вище зазначенні адреси ІР. Про канадську адресу ІР НОМЕР_1 йдеться у комунікації, яка належить до акаунта який навмисно передає помилкову інформацію, ІНФОРМАЦІЯ_4 . У деяких не закодованих рядках виявлено адресу URL ІНФОРМАЦІЯ_5 Аналіз скріпу ІНФОРМАЦІЯ_5 .php виявив, що у цьому випадку мова йдеться про скрипт для активації керуючих серверів. Цей скрипт фігурує і в інших протоколах комунікації, яке розслідує австрійське слідство. Ці протоколи також закодовані, але в одному рядку стоїть ІНФОРМАЦІЯ_6 . Під час комунікації (червень 2015 року) обидва ІТ адреси належали до сервера, який керує структурою «Avalanche». Дані активації серверів співпадають з даними комунікації. Цей скрипт ймовірно використовується для конфігурації актуального керуючого серверу. Для роботи нового керуючого серверу змінилась адреса ІР. Акаунт, який навмисно передає помилкову інформацію ІНФОРМАЦІЯ_4 виявлено у деяких місцях протоколу комунікації. Таким чином, вищезазначений акант, який навмисно передає помилкову інформацію оперує з зареєстрованими доменними та назвами серверів. Крім того, у протоколах комунікації згадується про те, що китайські реєстратори об`єднуються до єдиної родини з метою реєстрації доменів. Особа під ніком « ОСОБА_8 » вимагає за такі домени із закінченням .com та .net 25 одиниць WMZ (американські долари у системі ІНФОРМАЦІЯ_7 ).
У рамках міжнародного обміну інформації встановлено, що особа під ніком « ОСОБА_8 » додатково до вище вказаних акантів, які навмисно передають помилкову інформацію, також користується акаунтом, ІНФОРМАЦІЯ_8 , який навмисно передає помилкову інформацію, ІНФОРМАЦІЯ_9 виявлено у молдавській системі з адресою IP НОМЕР_2 ( ОСОБА_13 , ІНФОРМАЦІЯ_3 ), за ним встановлено спостереження. Аналіз отриманих даних виявив, що на цьому сервері, який використовувався як керуючий сервер у інфраструктурі « ІНФОРМАЦІЯ_2 », цілодобово працювала служба, яка навмисно передавала помилкову інформацію. Користувачами цього серверу були особи під ніками « ІНФОРМАЦІЯ_8 » та «flux2». Крім того, для обох ніків було встановлено перелік контактів.
На молдавському сервері встановлено участь домену ІНФОРМАЦІЯ_10 . З цього серверу оператор має доступ до бази даних з сенсорною панеллю з ОС та браузером на базі ІНФОРМАЦІЯ_11 . У цій базі даних установлена, крім іншого, наявність доменів, які працюють у шкідливій інфраструктурі « ІНФОРМАЦІЯ_2 », про яку йдеться у цієї справі.
В подальшому установлено, що злочинці перевели як комунікаційну службу ІНФОРМАЦІЯ_9 , так і домен ІНФОРМАЦІЯ_10 на новий сервер з адресою IP 172.86.120.116 ( ОСОБА_14 , ІНФОРМАЦІЯ_12 ).
Згідно інформації Федеративної Республіки Німеччина в протоколах комунікації встановлено, що особа під ніком « ОСОБА_15 » є адміністратором різних доменів та іменних серверів, які є частиною інфраструктури « ІНФОРМАЦІЯ_2 », за допомогою якої вчинялися злочини. За результатами слідства австрійських правоохоронних органів, які мають значення і для цього процесу, велося спостерігання за сервером, який навмисно передає помилкову інформацію, ІНФОРМАЦІЯ_13 ( ІНФОРМАЦІЯ_14 ) з адресою IP 80.80.245.58. З пересланих протоколів випливає, що нікі ІНФОРМАЦІЯ_9 та ІНФОРМАЦІЯ_15 займаються адміністрацією домені, та підготовкою інфраструктури програм-роботів.
Також установили, що в інфраструктурі фігурує грошовий рахунок Z51 системи ІНФОРМАЦІЯ_7 , який використовується для оплати послуг. Цей рахунок належить окремо переслідуваному ОСОБА_16 . Аналіз даних на грошовому рахунку системи ІНФОРМАЦІЯ_16 , що в період з 06.01.2015 до 01.07.2016 за наданні flux2 незаконні послуги, які полягали у наданні хостів для кримінального користування та технічній підтримці, на цей рахунок перераховувались кошти.
12.01.2017 ОСОБА_7 повідомлено про підозру у вчиненні злочинів, передбачених ч. 3 ст. 28 ч. 1 ст. 361, ч. 4 ст. 190, ч. 3 ст. 209 КК України.

При проведенні досудового розслідування встановлено, що під час вчинення даних злочинів члени організованої групи підтримували зв`язок з використанням мобільного номеру та IMEI мобільного терміналу, за допомогою якого було здійснено вхід до мережі Інтернету із використанням ІР-адреси НОМЕР_3 , оператора мобільного зв`язку ПрАТ « ІНФОРМАЦІЯ_17 ».

Слідчий суддя, заслухавши пояснення сторони кримінального провадження по суті внесеного клопотання, вивчивши надані матеріали, що стосуються розгляду клопотання, дійшов висновку про наявність підстав для надання тимчасового дозволу до речей та документів, з можливістю їх вилучення, які перебувають у оператора мобільного зв`язку ПрАТ « ІНФОРМАЦІЯ_17 », розташованого за адресою: АДРЕСА_1 .

Слідчий суддя, заслухавши пояснення сторони кримінального провадження по суті внесеного клопотання, вивчивши надані матеріали, що стосуються розгляду клопотання, дійшов висновку про наявність підстав для надання дозволу на тимчасовий доступ до речей та документів з можливістю надання інформацію у електронному та друкованому вигляді щодо абонентського телефонного номера оператора мобільного зв`язку ПрАТ « ІНФОРМАЦІЯ_17 », ІР-адреси НОМЕР_3 .

На підставі викладеного і керуючись ст. 31 Конституції України, ст. 108, ст.ст.160, 162, 163, 164, 166, 309, 561, 562 КПК України, слідчий суддя,

У Х В А Л И В:
Клопотання задовольнити.

Надати старшому слідчому в ОВС Головного слідчого управління Національної поліції України майору поліції ОСОБА_4 , слідчому СГ ГСУ НП України капітану поліції ОСОБА_3 , тимчасовий доступ до речей та документів та проведення вилучення ( виїмку) у оператора мобільного зв`язку ПрАТ « ІНФОРМАЦІЯ_17 », розташованого за адресою: АДРЕСА_1 , інформацію у електронному та друкованому вигляді щодо абонентського телефонного номера оператора мобільного зв`язку ПрАТ « ІНФОРМАЦІЯ_17 », ІР-адреси НОМЕР_3 ., а саме:

- інформацію про приналежність ІР-адреси НОМЕР_3 , за наявності контрактної угоди, надати відомості про абонента (з наданням повних анкетних даних власника(ів) мобільних номерів телефонів та належним чином завірених копій документів на підставі яких виданий ІР-адреси) НОМЕР_3 ;
- інформацію про телефонні та інші з`єднання ІР-адреси НОМЕР_3 , (абонент «А») з номерами абонентів «Б» із зазначенням номеру абонента та ІМЕІ терміналів з якими працювали абоненти «А»; дати, часу, тривалості вхідних та вихідних телефонних з`єднань з посиланням на ретранслятор та прив`язку до базових станцій, їх адресу в момент кожного вхідного та вихідного телефонного з`єднання та інформацію про GPRS-трафік, з урахуванням нульових дзвінків у період часу з 01.01.2016 по 20.03.2017 року.

Ухвала оскарженню не підлягає.

Слідчий суддя Печерського

районного суду міста Києва ОСОБА_1

Ухвала виготовлена в двох примірниках.

Примірник № 1 знаходиться в матеріалах клопотання № 757/ 15723/17-к
Примірник № 2 наданий старшому слідчому в ОВС ГСУ НП Кураїни майору поліції ОСОБА_4 .

Слідчий суддя Печерського

районного суду міста Києва ОСОБА_1