Расследование: Как происходил передел рынка подпольной онлайн-фармацевтики
26 Августа 2014

• Версия для печати

Основатель платежной системы Chronopay Павел Врублевский, по данным ФСБ, был совладельцем подпольной сети по продаже фармацевтических препаратов в интернете RX-Promotion. В результате войны между Врублевским и его бывшим партнером Игорем Гусевым, создавшим другую фарма-сеть - Glavmed, оба проекта закрылись, а их владельцы поимели проблемы с законом

В материалах уголовного дела о Ddos-атаке на «Аэрофлот», заказчиком которой был признан владелец платежной системы Chronopay Павел Врублевский (вышел из колонии весной 2014 г. по УДО), содержится информация о партнерской онлайн-сети по подпольной продаже фармацевтических препаратов RX-Promotion. На допросах в ФСБ гендиректор компании «Технические решения» Юрий Кабаенков (сетевой ник Hellman) признал, что сеть принадлежала ему и Врублевскому.

Кабаенков рассказал, что он отвечал за техническую часть проекта и получал от 5% до 7% от продажи каждого лекарственного препарата, зарабатывая таким образом от $10 тыс. до $15 тыс. в месяц. Хакер Игорь Артимович, признанный судом исполнителем Ddos-атаки на «Аэрофлот», также признал, что сеть RX-Promotion принадлежала Врублевскому и Кабаенкову. По его словам, через сеть продавались такие препараты, как фентермин, викодин, кодеин, валиум, трамадол, ултрам, сома, лунеста, аддерал, оксикодон, оксиконтин, гидрокодон и др.

Хакеры на службе фармацевтики

Игорь Артимович и его брат Дмитрий (также был осужден за участие в Ddos-атаке) ранее работали в других партнерских программах, в частности, занимались развитием сети Glavmed, создателем которой считается экс-совладелец Chronopay Игорь Гусев. С целью рассылки спам-сообщений с рекламой фармацевтических препаратов братья Артимовичи создали вредоносное программное обеспечение Topol-Mailer: устанавливаясь на компьютеры жертв, оно создавало бот-сеть для распространения спама.

Будучи недовольными сотрудничеством с Glavmed, братья Артимовичи через форум «серых» веб-мастеров CruTop вышли на связь с неким человеком под ником RedEye (они уверены, что это был Врублевский). Чтобы продемонстрировать ему свои возможности, братья в начале 2010 г. с помощью все того же Topol-Mailer произвели успешную Ddos-атаку на сервер RX-Promotion.

Согласно показаниям Артимовичей и Кабаенкова, после этого Врублевский устроил встречу между ними. Но Кабаенков заявил, что программное обеспечение RX-Promotion не требует доработок, и в услугах Артимовичей он не нуждается. Тем не менее, между Врублевским и Артимовичами началось сотрудничество.

В материалах уголовного дела говорится, что в 2010 г. Врублевский поставил задачу сотруднику службы безопасности Chronopay Максиму Пермякову организовать Ddos-атаку на платежную систему «Ассист», обслуживавшую «Аэрофлот». Атака была осуществлена с помощью Артимовичей через бот-сеть Topol-Mailer.

Игорь Артимович пояснил CNews, что он вместе со своим братом Дмитрием и Врублевским собирался запустить две новые партнерские программы по продаже фармацевтики: Minzdrav и MediCash. Для этих проектов требовались инвестиции, которые Врублевский согласился дать в обмен на участие Артимовичей в Ddos-атаке. Из-за ареста же летом 2011 г. всех четверых фигурантов по делу «Аэрофлота» новые партнерские сети не были запущены.

Украденная переписка

Показания Артимовича и Кабаенкова — не единственные свидетельства причастности Павла Врублевского к RX-Promotion. В распоряжение американского журналиста Брайна Кребса оказалась служебная переписка Chronopay, осуществлявшаяся через облачную intranet-систему Megaplan. Из нее следовало, что Chronopay курирует деятельность RX-Promotion, за которым стоят Hellman (то есть Кабаенков) и RedEye (считается ником Врублевского).

Отвечал за данный проект, согласно переписке, сотрудник службы безопасности Chronopay Станислав Мальцев (ник Heppner). Ранее Мальцев был следователем МВД и расследовал дело анонимного интернет-банка Fethard Finance. Врублевский проходил свидетелем по данному делу, но после перехода Мальцева на работу в Chronopay расследование заглохло.

В свою очередь, экс-совладелец Chronopay Игорь Гусев, находившийся в серьезном конфликте с Врублевским, выкладывал видео с вечеринки партнеров сети RX-Promotion. Ее вели Врублевский и Кабаенков. Также Гусев распространил записи телефонных переговоров Врублевского и Кабаенкова, обсуждавших дела RX-Promotion. Были выложены и записи переговоров других сотрудников Chronopay на соответствующую тему, в частности, Максима Пермякова, Станислава Мальцева и главного казначея Юлии Рокитской.

Помимо этого Гусев распространил и электронную переписку сотрудников Chronopay относительно RX-Promotion. В письмах часто говорилось о проблемах с платежными системами Visa и Mastercard, блокирующими транзакции за оплату лекарственных препаратов ограниченного распространения. В качестве одного из способов решения проблемы предлагалась осуществлять процессинг фармацевтики под аккаунтом интернет-магазина косметики.

В одном из писем сотрудница Chronopay Александра Созинова высказала опасение, что в ходе возможного обыска у нее могут изъять ноутбук с большим количеством конфиденциальной информации о Кабаенкове. В другом письме Юлия Рокитская уточнила, что прибыль от RX-Promotion делится поровну между Кабаенковым и Врублевским (то есть Кабаенков в своих показаниях занизил свою долю прибыли). При этом Рокитская отметила, что RX-Promotion пользуется услугами техподдержки Chronopay, поэтому доля Врублевского от прибыли сети в реальности больше половины. Если же Кабаенков узнает себестоимость этих услуг, то он может от них отказаться, писала казначей Chronopay.

Как делаются и делятся деньги

Идея RX-Promotion и других подобного рода сетей строится на том, что на Западе для покупки обычных лекарств, включая, например, виагру, требуется предъявление рецепта. Такие сети позволяют приобретать лекарства без рецептов с доставкой из стран Азии. Кроме того, основной ассортимент таких сетей состоит из «дженериков» - препаратов-подделок под известные бренды.

RX-Promotion торговала также и «контролами»: наркосодержащими лекарственными препаратами, оборот которых в официальной торговле ограничен. В связи с этим в 2011 г. Федеральная служба по контролю за оборотом наркотических средств даже провела рейд по одной из вечеринок веб-мастеров RX-Promotion в клубе Golden Palace.

Поскольку такая деятельность не является легальной, RX-Promotion и другие сети не могут создать каких-либо широко-раскрученных сайтов. Вместо этого организуются партнерские сети: любой желающий веб-мастер может войти в такую сеть и создать собственные «витрины». За каждого приведенного покупателя веб-мастер получает свой процент. Основной метод продвижения такой продукции — почтовый и поисковый спам.

По словам Игоря Артимовича, обычно веб-мастер получает около 40% от объема покупки. 13% уходит поставщикам продукции, 10% - процессинговой компании, обеспечивающей платеж. Около 7% партнерская сеть тратит на организационные расходы: сервера, call-центр, charge-back (возвраты платежей по фальшивым кредиткам, обычно на них приходится около 1-1,5%). Остальные 30% - это прибыль партнерской сети. В лучшие времена оборот Glavmed составлял порядка $10 млн в месяц.

Артимович говорит, что выгоднее всего продавать «контролы»: их покупают сразу крупными партиями, в среднем на $600. Это примерно в пять раз выше среднего чека на покупку виагры. Правда, «контролы» и сложнее всего продавать: далеко не все платежные системы готовы осуществлять соответствующий процессинг.

Война по всем фронтам

Павел Врублеский заявил CNews, что он не имел отношения к RX-Promotion. Между тем, несколько лет назад Врублевский сам рассказал широкой общественности о таком явлении, как подпольная онлайн-фармацевтика. В 2009-2010 гг. он активно обвинял своего бывшего партнера Игоря Гусева в создании крупнейшей на тот момент партнерской сети Glavmed. А поскольку для распространения продукции Glavmed широко использовал спам, Врублевский называл Гусева «спамером №1 в мире».

Фактически с подачи Врублевского в 2010 г. МВД возбудило уголовное дело в отношении Гусева о нелегальном предпринимательстве. В рамках дела в офисе Гусева были проведены обыски, сам он покинул Россию, а афилированная с Glavmed партнерская сеть Spamit прекратила существование. Позднее был арестован партнер Гусева Дмитрий Ступин.

Кроме того, у Glavmed украли базу данных об ее американских клиентах, которая была передана властям США. Когда же оперативники ФСБ изучали панель управления Topol-mailer, которая использовалась для атаки на «Аэрофлот», то обнаружили там следы Ddos-атак на целый ряд фармацевтических ресурсов, конкурирующих с RX-Promotion, в том числе и тех, что считались связанными с Гусевым: Glavmed.com, Spamit.com, Spamdot.us, Stimul-cash.com, Your-pials-online.com, Ehost.by, Spampeople.net и др.

Следы атаки на фармацевтические ресурсы со стороны Topol-Mailer нашел и Брайн Кребс, изучавший поведение данной Ddos-сети. Согласно приведенному Кребсом исследованию компании SecureWorks, Topol-Mailer (другое название — Festi) атаковал, в числе прочего, форумы gofuckbiz.com и armadaboard.com, предположительно принадлежавшие Гусеву. Среди жертв Topol-Mailer оказался и сайт RedEyeBlog, на котором Гусев размещал компромат на Врублевского.

Война за передел рынка подпольной онлайн-фармацевтики закончилась закрытием и Glavmed, и RX-Promotion. Впрочем, сам рынок остается: к примеру, на нем продолжают работать партнерские сети Stimul-Cash и RX-Partners, которые некоторые источники CNews связывают с программистом Леонидом Куваевым, отбывающим наказание в американской тюрьме. Но для Врублевского война могла иметь более серьезные последствия, чем потеря одного из проектов.

Гусев не комментировал свое участие в Glavmed. Однако он выступал в защиту данной сети: Гусев указывал, что если с помощью Glavmed продавали, в основном, виагру, то через RX-Promotion распространяли наркосодержащие препараты.

Кроме того, Гусев активно рассказывал о темных сторонах бизнеса Врублевского. Как уже отмечалось, он организовал специальный сайт с компроматом на своего бывшего партнера, где распространял сведения о связях Врублевского с Fethard и RX-Promotion, с партнерской сетью по распространению жесткой порнографии PornoCruto, с форумом «серых» веб-мастеров CruTop и т.д.

Из материалов, публиковавшихся Гусевым, можно было сделать вывод, что у него хорошие источники в Chronopay. Гусев публиковал электронную переписку сотрудников компании, записи телефонных переговоров, сделанные с офисного коммутатора IP-телефонии, разного рода внутренние документы и т.д.

А в конце 2010 г. Гусев заявил, что произошедшая за полгода до этого Ddos-атака на «Аэрофлот» была заказана Врубелевским. Исполнителем же ее был Игорь Артимович с ником Engel. В подтверждение своих слов Гусев выложил электронную переписку, якобы принадлежащую сотрудникам Chronopay, согласно которой в дни атаки на «Аэрофлот» с электронных кошельков Chronopay в системе Webmoney на счет Engel переводилось по несколько тысяч долларов.

Уголовное дело о данной атаке ФСБ возбудило лишь в мае 2011 г. Причем в его основу легла как раз эта самая переписка. Как заявлял в суде один из руководителей Центра информационной безопасности (ЦИБ) ФСБ, занимавшийся данным делом, изначально эта переписка оказалась в руках оперативников в рамках другого дела — о нелегальной торговли фармацевтическими препаратами в интернете.

С помощью «оперативных возможностей» в системе Webmoney сотрудники ФСБ вычислили IP-адрес, использовавшийся Артимовичем. Через запрос к соответствующему провайдеру стало понятно, кто пользуется данным подключением. Далее, установив перехват трафика с его интернет-канала, оперативники вычислили факт захода на панель управления Topol-Mailer и перехватили логин и пароль от нее. Экспертиза Group-IB подтвердила, что Topol-Mailer — бот-сеть, через которую можно было атаковать «Аэрофлот». Таким образом и было раскрыто дело о Ddos-атаке «Аэрофлота».

Между тем, Брайн Кребс, изучая электронную переписку между Игорем Гусевым и Дмитрием Ступиным, обнаружил в ней интересный пункт. Якобы, пытаясь отомстить Врублевскому за проблемы Glavmed, осенью 2010 г. Гусев заплатил за начало расследования в отношении Игоря Артимовича ($20 тыс. якобы ушло на оплату работы экспертов-криминалистов, еще $30 тыс. были заплачены непосредственно за открытие уголовного дела). Вышеописанные оперативные мероприятия ФСБ и экспертиза Group-IB прошли как раз в тот период времени.

Источник CNews в ФСБ, близкий к данному делу, называет версию о заказе со стороны Гусева «паранойей Врублевского». «Мы действительно вызывали к себе Гусева, но к делу Врублевского он не имел отношения и никаких материалов нам не передавал», - уверяет источник CNews.

Бывший топ-менеджер Chronopay также уверен, что Гусев не только не имел отношения к делу Врублевского, но даже не был первоисточником публиковавшегося им компромата. «Гусев был фигурой, через которую «высшие силы» подавали сигналы Врублевскому», - полагает он.

Источник: CNews