XSS-файлы: обсуждение событий июля 2025 года с бывшими модераторами. Часть 1.

[zender]

За последние недели все, кто хоть как-то связан с сообществом информационной безопасности, увидели громкую новость об «аресте администратора печально известного форума XSS[.]is», что стало серьезным ударом по форуму с более чем 20-летней историей и его сообществу.
Вот почему я решил провести короткую беседу с Anomaly , модератором нового форума DamageLib и бывшим модератором форума XSS, представляющим других модераторов, чтобы понять и объяснить недавние события с точки зрения людей, тесно связанных с форумом.

Интервью было записано на английском языке. Всё, что сказано ниже, является оригинальным текстом. Дата беседы — 7 августа, события после этой даты не обсуждались.

Чтобы сделать его более понятным и для тех, кто мог пропустить какую-либо информацию, он создал хронологию событий, я добавил изображения и ссылки:

22.7 — Тоху арестовали на Украине, в его квартире провели обыск.
23.7 — Появилась первая новость на REUTERS, затем официальный пресс-релиз на сайте Европола

Новости Рейтер → https://www.reuters.com/technology/suspect-linked-russian-language-cybercrime-forum-arrested-ukraine-2025-07-23/

Новости Европола → https://www.europol.europa.eu/media-press/newsroom/news/key-figure-behind-major-russian-speaking-cybercrime-forum-targeted-in-ukraine

23.7 — поздний вечер — домен xss.is был заблокирован LE-дефейсом, но резервные домены — xss[.]as и onion (xssforumv3isucukbxhdhwz67hoa5e2voakcfkuieq4ch257vsburuid[.]onion) продолжали свою работу

Нажмите Enter или щелкните, чтобы просмотреть изображение в полном размере.

24.7 — официальные пресс-релизы СБУ, Нацполиции Украины, Прокуратуры

СБУ → https://x.com/g0njxa/status/1948379791503003736
ПГО → https://x.com/g0njxa/status/1948386213162795117
НПУ → https://x.com/g0njxa/status/1948433517714497947

24.7 — вечер xss[.]as прекратил свою работу и начал перенаправляться на google, домен onion был изменён на xssforum7mmh3n56inuf2h73hvhnzobi7h2ytb3gvklrfqm7ut3xdnyd[.]onion с перенаправлением
24.7 — админ дал своё первое высказывание и написал его в стилистике Тохи, подражая ему

Нажмите Enter или щелкните, чтобы просмотреть изображение в полном размере.
Перевод с русского:
Ребята, основной сервер не пострадал. Все усилия брошены на замену инфраструктуры. Форум и Jabber могут быть недоступны в ближайшее время. Отключение доменов — обычное дело. Не паникуйте. Как только я разберусь в ситуации, я отвечу.

25.7 — второе утверждение — что «Тоха недоступна», но что с бэкенд-сервером всё в порядке и форум «перенесёт» свою инфраструктуру и продолжит свою работу, слова о «доверенном лице», которое имело доступ к «бэкенд-серверу» и прочей инфраструктуре

Перевод с русского:
Нажмите Enter или щелкните, чтобы просмотреть изображение в полном размере.
Восстановление форума
Тоха недоступен, но этот сценарий был обговорен с ним заранее, чтобы сохранить работоспособность форума, несмотря ни на что. Некоторые из тех, кто помогал поддерживать форум, не выходят на связь. Бэкенд и резервные копии в безопасности, но часть инфраструктуры уязвима и требует замены. Это не повлияет на работу форума. Домен перенесён к регистратору, со временем появится новый, все старые домены .onion будут заменены в целях безопасности.
Новый домен tor: xssforum7mmh3n56inuf2h73hvhnzobi7h2ytb3gvklrfqm7ut3xdnyd.onion
WWW-домены в процессе разработки
Модераторы остаются на своих местах. Операции по депозитам приостановлены.
Нажмите Enter или щелкните, чтобы просмотреть изображение в полном размере.
Пожалуйста, будьте терпеливы.
В настоящее время ведутся работы по созданию новой инфраструктуры.
Первоначальная задача состояла в том, чтобы отсечь все возможные точки доступа и определить, насколько далеко они смогли зайти, что и произошло в полной мере, и теперь можно с уверенностью сказать, что до основного сервера форума они не дошли. На данный момент работает только новый onion, в ближайшее время будет поднят WWW, но только после полной замены всей инфраструктуры.
Мы решим вопросы с депозитами, автогарантиями и жалобами после того, как все будет оформлено и переведено.
Нажмите Enter или щелкните, чтобы просмотреть изображение в полном размере.
Форум
- подготовка к переходу на новую инфраструктуру.
Домены
- клиры готовы, раздам после переноса форума
- новый tor, новый сертификат (сделан на всякий случай), убрано перенаправление (http -> https)
Автогарант
- финансы в безопасности
- рассмотренные заявки будут завершены, деньги будут выданы
- После обновления автогарант будет работать в стандартном решении
Депозиты
- Я анализирую ситуацию

25.7 — модераторы начали переговариваться между собой — всё выглядело сомнительно — какой смысл продолжать работу форума на двух доменах, если админ арестован, а один домен захвачен? Кто это делает? Никто не связывался с модераторами — никто не знал, кто этот админ. Были первые мысли — что операция LE всё ещё продолжается.
25.7 — модераторы приняли решение — сделать полный дамп всего контента форума, кроме коммерческих тем — и в течение следующих нескольких дней они сбросили 100% всего контента (кроме коммерции)
26.7 — все модераторы (кроме троих, с которыми никто не контактировал) решили, что нужно создать новый форум с нуля — модераторы решили написать специальные скрипты, которые будут отправлять ЛС с предупреждением всем пользователям о том, что форум контролируется СБУ
26.7 — открыт новый форум модераторов на onion-домене: http://damaga377vyvydeqeuigxvl6g5sbmipoxb5nne6gpj3sisbnslbhvrqd[.]onion/forum
2.8 — с трех аккаунтов модераторы начали спамить через XSS, чтобы предупредить людей в PM, что они теперь на honey-pot, 13 тыс.+ пользователей успешно получили это предупреждение

Нажмите Enter или щелкните, чтобы просмотреть изображение в полном размере.
Перевод с русского:
Обновляйте по ситуации!
Модераторы предупреждают вас: нам не удалось установить личность нового администратора. По нашему мнению, Дамага находится под контролем французских правоохранительных органов и СБУ. Он всё ещё находится в сети, участвуя в спецоперации. Цель этой операции — собрать ещё больше улик на пользователей и произвести ещё больше арестов! Уголовное дело касается не только Тохи, но и всего Дамаги, а значит, и нас.
Чтобы избежать дальнейших арестов, мы решили открыть альтернативную и безопасную платформу DamageLib: http://damaga377vyvydeqeuigxvl6g5sbmipoxb5nne6gpj3sisbnslbhvrqd[.]onion/forum/
Домен Clearnet: https://damagelib.tw/
Рекомендуем регистрироваться на новом форуме только под новыми никами! Указывайте любой email (даже несуществующий, верификации нет).
Все статьи и контент из Damaga уже скопированы и будут перенесены на форум в ближайшем будущем.
Спасибо за внимание и берегите себя!

2.8 — с того же дня началась мощная DDOS-атака на новый форум и все модераторы были забанены (кажется, кроме одного парня, у которого просто сняли статус модератора)
2.8 — XSS закрыл свой форум и разместил лендинг, что он меняет инфраструктуру

Нажмите Enter или щелкните, чтобы просмотреть изображение в полном размере.

3.8 — открыт на onion и новом домене (xss[.]pro) — xss[.]pro был размещен (!) на HostLand в Санкт-Петербурге, Россия, затем они также добавили российский флаг в логотип XSS они также зарегистрировали xss[.]space, но по какой-то причине не использовали xss[.]ms и xss[.]ws, которые были у Тохи, но никогда не использовались им самим (это тоже было странно — у них был доступ к бэкенду, но не к его доменам?)

Нажмите Enter или щелкните, чтобы просмотреть изображение в полном размере.

3.8 — администратор сделал заявление, в котором сказал, что jabber-сервер thesecure.biz был скомпрометирован, а также, что у него нет доступа к депозитам на холодных кошельках, которые якобы были изъяты СБУ, повторил, что внутренний сервер безопасен, не объяснил, кто он такой, но сказал, что модераторы — предатели.

Нажмите Enter или щелкните, чтобы просмотреть изображение в полном размере.
Перевод с русского:
Добрый день.
Итак, все технические работы по восстановлению и переходу на новую инфраструктуру завершены.
Как только я получил информацию о возможном аресте Тохи, первоочередной задачей было понять, насколько далеко они продвинулись и какие данные им удалось получить.
Результаты анализа старой инфраструктуры показали следующее:

1. Доступ к управлению доменами WWW был перехвачен; домен onion также мог быть перехвачен (именно поэтому был создан новый домен onion).
2. Сервер Jabber был полностью скомпрометирован. Он содержал двоичный файл, позволяющий извлекать информацию об IP-адресах онлайн-пользователей, а также о сообщениях, отправленных получателям, находившимся офлайн. Ведение журнала разговоров и истории IP-адресов входа на сервере было отключено, как вам и сообщил Тоха. Однако сам сервер не был зашифрован.
3. Доступ к внутреннему серверу не был получен, сторонних исполняемых файлов или логинов обнаружено не было. Сервер также не был зашифрован.
4. Ситуация с кошельками гораздо более удручающа. Все платежи проходили через Bitcoin Core, Litecoin Core и Monero, которые размещались на отдельных серверах. На момент получения доступа на них хранилось всего 1,7 BTC, 156 LTC и 58 XMR; все крупные депозиты немедленно выводились, скорее всего, на холодные кошельки через сложные цепочки. К сожалению, полностью отследить их невозможно. Скорее всего, все монеты, хранившиеся на холодных кошельках, были изъяты СБУ.
5. СБУ не смогла получить физический доступ к серверам Jabber и внутренним серверам, поэтому анализа сетевой активности было достаточно, чтобы определить, произошла ли компрометация.

В результате технических работ было выполнено следующее:

1. Все элементы инфраструктуры были полностью заменены и перенесены на другие серверы (в места, куда по политическим причинам спецслужбы не могут получить физический доступ).
2. Были развернуты новые домены WWW и onion.
3. Все критически важные компоненты инфраструктуры были полностью зашифрованы.
4. Весь сетевой стек технологий был перестроен с использованием современных решений шифрования и маршрутизации. Это предотвратит раскрытие реального IP-адреса бэкенд-сервера и близлежащих узлов. В случае определения IP-адреса ретранслятора и попытки его компрометации доступ к следующему серверу в цепочке будет невозможен.
5. Были развернуты новые серверы с новыми кошельками, а также восстановлено взаимодействие между ними и основным сервером. Монеты, находившиеся на доступных серверах, были перенесены.

Теперь поговорим о судьбе самого форума.
XSS — это, прежде всего, сообщество технически грамотных людей, а не торговая площадка. Форум работал, работает и будет работать независимо от окружающих событий, действий и мнений относительно судьбы отдельных лиц.
Как и прежде, на форуме будут доступны платная реклама, платные статьи, конкурсы, депозиты и эскроу-сервис. Это необходимо в первую очередь для обеспечения возможности возврата депозитов пользователям. Лично мне деньги не нужны, но выплачивать более 55 BTC из собственного кармана было бы нецелесообразно, поскольку я не несу ответственности за их хранение.
Я также заметил большое количество аккаунтов в группе «Scrapper», которые бродят по форуму и собирают все сообщения и активность пользователей. Эти аккаунты будут заблокированы, а группа «Scrapper» будет закрыта.
На форуме будет введена платная регистрация для новых пользователей без гаранта. Если при регистрации пользователь укажет гаранта и гарант подтвердит приглашение, заявка будет принята без оплаты.
Давайте обсудим ситуацию с модераторами.
Как только я изолировал старые серверы и убедился, что доступ к бэкенду не получен, я связался с закрытым модераторским разделом, сообщив, что сейчас занимаюсь анализом и миграцией. Я сказал им, что как только всё будет готово, я проведу отдельную конференцию с модераторами, чтобы обсудить наилучший способ решения проблемы с депозитами. Они прочитали это и затем, по собственной инициативе, решили создать свой форум и тайно оповестить пользователей XSS об этом, отправляя личные сообщения и системные уведомления с тревожными сообщениями о взломе форума. Это был их выбор, и я сделал собственные выводы об этих людях. На данный момент все модераторы, которые так поступали, забанены. Я оставил им электронное письмо для обратной связи, если они захотят связаться со мной.
Из-за их действий мне пришлось откатить базу данных к резервной копии от 01.08.2025.

Получайте ящик истории g0njxa на свой почтовый​

Присоединяйтесь к Medium бесплатно, чтобы получать обновления от этого автора.
Я открываю набор новых модераторов для каждого раздела. Если вы хотите стать модератором, отправьте мне личное сообщение с вашей заявкой, указав раздел, который вы хотите модерировать, и какой у вас есть опыт работы (статьи, разработки, исследования). После проверки заявок и подтверждения вашей компетентности в данной области вам будет предоставлен статус модератора.
В ближайшем будущем все текущие проблемы с автодепонированием и черными списками будут решены.
В сложившейся ситуации никакой верификации, определения старых ников и подобной информации не будет. Любая такая верификация равносильна самоубийству.
И хочу напомнить всем: не полагайтесь исключительно на безопасность инфраструктуры форума. Ваша безопасность только в ваших руках — не публикуйте личные адреса электронной почты и контакты на форумах и в переписке, а также всегда придерживайтесь модели «нулевого доверия».
Пример модератора, заблокированного администратором, с сообщением, в котором говорится, что нужно связаться с адресом [email protected]

4.8 — мы сделали наше второе заявление — XSS снова закрыли, и теперь они пытаются настроить анти-DDoS-инфраструктуру — мы все еще подвергаемся сильным DDoS-атакам

Нажмите Enter или щелкните, чтобы просмотреть изображение в полном размере.
Внимание! XSS-форум контролируется СБУ и превратился в приманку.
Администратор форума действительно был арестован в Киеве, а новый администратор — чужак из ниоткуда.
Уголовное дело возбуждено не только против Тохи, но и сам форум находится под следствием, а значит, и против всех нас!
Команда модераторов запустила альтернативную и безопасную платформу DamageLib:
Подробности можно найти в теме по этой ссылке. http://damaga377vyvydeqeuigxvl6g5sbmipoxb5nne6gpj3sisbnslbhvrqd.onion/forum/threads/12/
При регистрации используйте новый ник. Email не используется — введите любой. Если вы потеряете пароль, восстановить его будет невозможно.
Текущий вид бывшего XSS-onion-домена:
Нажмите Enter или щелкните, чтобы просмотреть изображение в полном размере.
Техническая работа
На сайте временно проводятся технические работы.
Пожалуйста, попробуйте еще раз позже.
Комментарий:
В настоящее время устанавливается система защиты от DDoS-атак, поскольку некоторые бывшие участники форума пытаются нарушить работу платформы. Мы приложим все усилия для восстановления нормальной работы форума.