В даркнете продолжается жестокая война за рынок наркотиков. Чем это опасно для обычных россиян?

Война за главенство на рынке онлайн-продажи наркотиков, спровоцированная закрытием прежнего монополиста «Гидры», продолжается уже десять месяцев. За это время реклама запрещенных веществ переехала из глубин даркнета на щиты на улицах российских городов, а проморолики маркетплейсов можно найти практически на всех доступных легальных платформах. «Лента.ру» выяснила, как конкуренты планируют побеждать друг друга и чем эта борьба оборачивается для простых россиян.

«Лента.ру» не поддерживает деятельность нелегальных площадок и напоминает об уголовной ответственности за приобретение запрещенных товаров и услуг в теневом сегменте интернета. По этой же причине редакция не приводит полные названия площадок.

«Лента.ру» напоминает, что производство, сбыт и пересылка наркотических и психотропных веществ, а также склонение к их употреблению является уголовным преступлением и преследуется по закону.

Рынок почти лишился одного из претендентов на монополию

Ключевым аспектом в борьбе наркоплощадок, которая началась сразу после отключения «Гидры» весной 2022 года, стали попытки маркетплейсов вывести из строя сайты конкурентов. Расчет был на то, что хроническая недоступность сервисов утомит покупателей и вынудит их искать альтернативные площадки по продаже запрещенных веществ. В качестве конкретных инструментов претенденты на место монополиста используют DDoS-атаки (были особенно популярны летом и осенью 2022 года) и перехват контроля над доменами конкурентов (эта тактика активно применяется в последние месяцы). В последнем случае могут страдать как сайты площадок в клирнете, так и их страницы в даркнете, считающиеся, как правило, основными.

Вскоре после падения «Гидры» претенденты на ее место начали активно создавать представительства в клирнете. С их помощью площадки по продаже нелегальных веществ пытались повысить собственную доступность: для посещения даркнета нужно не только скачать и установить браузер Tor или его аналоги, но еще и разобраться пусть в несложных, но требующих определенной смекалки настройках, тогда как посещение обычного сайта не подразумевает всех этих трудностей.

С тем, что конкуренты пытались отключить их сайты, сталкивались почти все маркетплейсы, но больше всех досталось So****s. Этот маркетплейс потерял доступ к своим площадкам в даркнете, а сайт в клирнете пришлось на время закрыть. И хотя за этим событием в январе наблюдали многие даркнет-аналитики, данные о том, что же на самом деле произошло, разнятся. Все неизменно сходятся лишь в одном: первым о проблемах маркетплейса на его же главной странице сообщили представители Kr***n.

«Уважаемые покупатели и продавцы! Данная площадка была полностью нами скомпрометирована, скачаны все исходники, базы данных магазинов и все, что полагается в таких случаях. Добро пожаловать на Kr***n», — написали взломщики 13 января, параллельно выложив исходный код своего конкурента и часть данных размещавшихся у него магазинов.

После этого onion-ссылки маркетплейса перестали работать, а на сайте в клирнете аватарки сразу нескольких магазинов превратились в логотип Kr***n. В разговоре с «Лентой.ру» представители маркетплейса подтвердили, что именно они стоят за взломом So****s.

На протяжении следующей недели So****s обновлял сообщение на главной странице своего клирнет-ресурса, пытаясь убедить пользователей в том, что их средства в безопасности, а Kr***n не имеет никакого отношения к взлому. По версии маркетплейса, конкурент лишь воспользовался оказавшимися в его распоряжении базами данных и исходным кодом ресурса. В итоге ответственность за произошедшее возложили на бывшего сотрудника.

Killnet обвинили в связях с наркомафией

Еще за сутки до взлома So****s исходный код и другие данные с маркетплейса оказались в публичном доступе и начали стремительно рапространяться по даркнет-форумам. Ответственность за утечку взял на себя известный на Западе специалист по информационной безопасности с украинскими корнями Алекс Холден, занимающий руководящий пост в созданной им компании Hold Security. В статье, размещенной на сайте организации, он заявил, что доступ к инфраструктуре So****s он получил еще в июле 2022 года.

«Россия стала раем для продавцов наркотиков и благодатной почвой для нескольких даркнет-площадок, представляющих самую серьезную угрозу. Развитие даркнета и использование различных технологий сильно изменило торговлю наркотиками в этой стране. Дилеры больше не сидят в темных переулках, предлагая свои товары незнакомцам. Вместо этого они используют онлайн-сервисы для отправки армий кладменов, которые прячут психоактивные вещества (ПАВ) в глуби обычных непритязательных районов городов», — написал Холден.

По его словам, IT-инфраструктура So****s оказалась достаточно сложной, а уровень безопасности он охарактеризовал фразой «выше среднего». Несмотря на это, проникновение Холдена в маркетплейс осталось незамеченным администрацией площадки. Более того, в декабре 2022 года ему удалось выкрасть у наркоторговцев 25 тысяч долларов в биткоинах и направить их на счета благотворительных организаций в Киеве.

Публикация исходного кода ресурса, судя по всему, стала ответом на заявления So****s о том, что Холден никогда не имел доступа к инфраструктуре маркетплейса и не переводил никаких денег на Украину. Помимо основного кода проекта, Холден опубликовал частичные базы данных некоторых магазинов и систем мониторинга, раскрыл особенности инструментов, направленных на противодействие внешним DDoS-атакам, а также ряд других сугубо профессиональных сведений.

Отдельная часть материала была посвящена предполагаемому сотрудничеству пророссийских хакеров из группировки Killnet с наркомафией. В качестве доказательства такой связи Холден приводит цитату лидера группировки Killmilk из интервью Russia Today: «У меня огромная поддержка от моих друзей из So****s — это такая же дерзкая и сильная команда из даркнета. Я не знаю, откуда они, но я знаю этих профессионалов очень давно. Благодаря их вниманию в нашу сторону Killnet остается на полном ходу», — сказал Killmilk в октябре 2022 года.

«Это полностью меняет правила игры, — пишет в своей статье Холден. — Связь Killnet с нелегальной наркоплатформой можно считать весьма необычной, потому что сотрудники So****s должны бы напротив — противопоставлять себя российскому правительству и его сторонникам. Например, в рядах So****s есть злоумышленница Тони Монтана, которая ранее управляла магазином украденных кредитных карт под названием TrumpDumps, закрытым российским правительством в феврале 2022 года».

Тему развили исследователи из компании Eliptic. Им удалось отследить несколько биткоин-транзакций, направленных от So****s к Killnet общей суммой в 44 тысячи долларов. Утверждается, что эти средства были потрачены пророссийскими хакерами на организацию кибератак против стран Запада.

На все эти данные в даркнете отреагировали по-разному. Killmilk действительно неоднократно говорил о знакомстве с членами So****s, но ничего не упоминал ни о денежных вливаниях, ни о конкретных направлениях сотрудничества. Одни аналитики склонны видеть в попытках установить столь четкую взаимосвязь между двумя теневыми организациями стремление очернить Killnet. Другие напоминают, что Killmilk и до, и после интервью Russia Today, заявлял о нетерпимости к наркоторговцам. Подобное мнение он неоднократно озвучивал и в приватных беседах с «Лентой.ру». Не исключено, что на самом деле Killmilk мог иметь в виду отдельных сотрудников So****s, которые занимаются развитием форума, а не самого маркетплейса: So****s фактически состоит из двух ресурсов, один из которых используется как торговая площадка, а другой — как пространство для обмена мнениями по самому широкому спектру вопросов, в том числе и не нарушающих законодательство.

Но практически все наблюдатели сходятся во мнении, что Kr***n в любом случае умело воспользовался ситуацией, сумев всего за сутки после обнаружения исходного кода площадки изучить его и найти способы отключения onion-доменов So****s.

«Мы действительно воспользовались частью информации, которая утекла в сеть, синхронизировали ее с имевшимися у нас данными и сделали то, что планировали, — раскрыл в беседе с «Лентой.ру» детали атаки представитель Kr***n. — Более того, после перехвата контроля над площадкой мы поставили там переадресацию на наш ресурс. Мы получили доступ, наверное, ко всем серверам проекта».

Несмотря на то что So****s удалось восстановить работоспособность своих страниц, уровень доверия к площадке, которая не смогла защитить от атаки свои основные сайты, мог значительно понизиться. Тем не менее сложно судить, добились ли конкуренты маркетплейса своих целей: данных по посещаемости So****s до и после инцидента не поступало.

За что мстит Kr***n

Через несколько дней после исчезновения onion-ресурсов So****s о смене адресов заявил и сам Kr***n. Новые клирнет-представительства были открыты в австрийской доменной зоне, которая в каком-то смысле относится к представительскому классу. Для открытия такого домена необходимо быть физлицом-резидентом страны либо юрлицом, имеющим филиал в Австрии. Впрочем, для даркнет-предпринимателей обход этого правила при всем многообразии доступных им поддельных документов вряд ли оказался сложным.

Во второй половине января маркетплейс Bl***S***t намекнул, что причиной смены доменов Kr***n стали именно их представители, опубликовав на главной странице своей площадки сообщение: «Будете лезть к нашим доменам в клирнете, будем сносить ваши и дальше». В беседе с «Лентой.ру» представители Kr***n удивились такой формулировке, предположив, что конкурирующая площадка решила сделать из переезда Kr***n повод для самопиара.

Само сообщение пропало спустя всего пару суток, сменившись ссылкой на пространный пост администрации Bl***S***t на теневом форуме Pa*****os. В нем руководство маркетплейса несколько раз назвало Kr***n «Гидрой», отсылая как к тому, что команда администраторов и модераторов бывшего монополиста перешла на работу в Kr***n, так и к методам, которые использует конкурирующая площадка.

Речь идет как раз о DDoS-атаках на остальных претендентов на лидирующие позиции на рынке (хотя этот пункт обвинений Kr***n отрицает), а также попытки уничтожать чужие домены, сопровождающиеся рекламной кампанией в Telegram-каналах под слоганом «"Гидра" вернулась».

При этом сам Bl***S***t с незавидным постоянством теряет сайты в клирнете и сталкивается с различными другими сложностями. С 20 декабря 2022 года команда Bl***S***t утратила контроль над четырьмя доменами, наименее живучий из которых просуществовал всего пару дней. Атаковали даже форум Pa*****os, провинившийся только тем, что на нем у Bl***S***t была своя ветка. До этого, летом и осенью 2022 года, появлялись сообщения о том, что на ресурсах площадки в даркнете стояла переадресация на фишинговые копии сайта. А в августе Bl***S***t и вовсе был вынужден уйти на технические работы почти на месяц, чтобы оправиться от длительной DDoS-атаки.

В этой борьбе досталось также и маркетплейсу M**a, также потерявшему несколько доменов в последнее время. Причиной того, что Kr***n стал активно нападать именно на эти наркосайты, даркнет-специалисты считают создание альянса маркетплейсами M**a, So****s и Bl***S***t, произошедшее вопреки достаточно напряженным отношениям между этими ресурсами. Представители данных площадок восстали против Kr***n, будучи не в силах противостоять конкуренту поодиночке и опасаясь как раз его доминирования, о чем прямо говорится в сообщении Bl***S***t на Pa*****os.

Суть появившегося перед самым Новым годом альянса сводится к фактическому запрету для магазинов на двойное размещение. Продавцы наркотиков должны выбирать — размещаться или только на Kr***n, или на всех других входящих в объединение площадках. По задумке членов альянса, столь суровая позиция должна была хотя бы приостановить стремительный приток магазинов на открывшийся только в декабре Kr***n. По факту же этого не произошло из-за позиции самих магазинов, некоторые из которых публично осудили политику альянса.

Отдельные магазины также столкнулись с блокировкой и невозможностью вывести деньги со счетов на площадках альянса, что, по мнению многих наблюдателей, приведет к оттоку как крупных, так и средних и даже незначительных игроков с этих маркетплейсов. Владельцы магазинов также предложили коалиции «завоевывать аудиторию функционалом, качеством и стабильностью», а не запретом сотрудничать с другими площадками, добавляя, что терпение десятков других крупных игроков уже на исходе.

Кроме того, к альянсу не стали присоединяться многие маркетплейсы и форумы, занимающие на рынке нишевые позиции и не претендующие на доминирование во всем российском даркнете. Более того, по информации «Ленты.ру», руководство площадки Bl***S***t активно рассматривает вопрос выхода из коалиции под влиянием давления отдельных магазинов и их возможного ухода с ресурса.

Как отмечают сами пользователи даркнета, подобные диспозиции крупных игроков и выжидающая позиция небольших площадок свидетельствуют о том, что война за российский наркорынок только начинается, а решающие сражения еще впереди. И по воле самих маркетплейсов эта война вышла уже очень далеко за пределы даркнета.

Рекламы наркотиков на улицах и в YouTube становится все больше

Реклама наркотиков в России за последний год стала настолько публичной, что названия торгующих ими маркетплейсов теперь известны не только завсегдатаям даркнета или потребителям запрещенных веществ. Вторая половина декабря и весь январь сопровождались беспрецедентными акциями крупных площадок, очевидцами которых стали тысячи людей, а снятые ими видео стали вирусными даже на легальных платформах.

При этом продавцы наркотиков практически отошли от известных в прошлом десятилетии практик: трафаретных надписей на асфальтах и небольших стикеров на столбах. Во времена монополии «Гидры» подобным продвижением занимались отдельные региональные наркомагазины.

Летом и осенью 2022 года эти способы продвижения снова стали появляться на улицах российских городов. Вместе с ними крупные наркомагазины начали использовать куда более эффектные и, по данным отдельных аналитиков, эффективные пиар-мероприятия. Автобус с символикой Kr***n перегородил Новый Арбат 19 декабря, чуть раньше маркетплейсу удалось показать видеорекламу на кубе в Москва-Сити.

Уже в январе идею с видео повторил Bl***S***t, а другие площадки начали обрабатывать посетителей роликами на различных стриминговых сервисах (в том числе YouTube) и в профильных Telegram-каналах. Их видео выглядят действительно качественными и дорогими, а сами их создатели для привлечения внимания устраивают в комментариях раздачи купонов на пополнение балансов на своих площадках. При этом сам Kr***n вышел за пределы столицы, пусть пока и с явно пробными акциями: баннеры ресурса с его адресом появились в нескольких местах вдоль трассы Москва-Петербург, а также в самом городе на Неве.

***

Пользователи различных даркнет-форумов сходятся во мнении, что столь агрессивное продвижение стало следствием все более ожесточенной борьбы за место лидера рынка. Пока она ведется по закону этого рынка, однако еще в августе 2022 года, до того, как Kr***n вышел на рынок, объявив себя новой «Гидрой», представитель одного из крупных игроков в приватном разговоре с «Лентой.ру» не исключил переноса этой борьбы в сугубо криминальную плоскость. Разборки между площадками с привлечением киллеров в новейшей истории России уже случались. Именно так RAMP, бывший ключевым игроком рынка до «Гидры», поначалу и конкурировал: подобным образом представители площадки решали вопросы с владельцами магазинов, ушедших к конкурентам. Однако та история в итоге закончилась победой «Гидры», не последнюю роль в которой сыграли DDoS-атаки.

При этом другим явным следствием происходящих перемен, по мнению даркнет-аналитиков, станет увеличение количества наркозависимых в стране. Один из них, попросив не называть свой ник, отметил, что публичность маркетплейсов даже на психологическом уровне снижает порог входа в употребление наркотиков, превращает нарушение закона и очевидные риски здоровью в обыденную рутину. Жертвами этого уже стали тысячи россиян, а новые зависимые появляются каждый день.