XSS-файлы: обсуждение событий июля 2025 года с бывшими модераторами. Часть 2.

[zender]

Давайте продолжим обсуждение:

Кого задержали на Украине, как мы увидели в новостях?​

Это был Тоха (старый админ XSS.IS) или Медведовский Антон (сегодня Кребс опубликовал его имя) — эта информация верна, это не слухи и т. д.
Но даже если мы прочтем пресс-релиз, в нем говорилось о человеке, который выполнял функции технического администратора, арбитра форума и эскроу-агента форума, так что единственный возможный человек — это Тоха, он был единственным, кто выполнял эти роли.
Модераторы никогда не судили никаких «арбитражных» дел, хотя модераторы никогда не имели доступа к финансовой или технической части сервера.
более того — никто из модераторов никогда не слышал, чтобы был какой-то другой человек — или администратор — который отвечает за эти операции, кроме самого Тохи
Ему 37 — эта информация слишком верна

Аномалия относится к этой статье:
https://krebsonsecurity.com/2025/08/who-got-arrested-in-the-raid-on-the-xss-crime-forum/
где обсуждается личность арестованного на Украине человека, обвиняемого в администрировании форума XSS. Выясняется, что это 37-летний Антон Ганнадьевич Медведовский. Anomaly считает эту информацию достоверной и добавляет: «Фамилия Медведовский верна. Авдеев — нет, это случайный человек, которого, предположительно, подставил сам Тоха».

Можете ли вы вкратце рассказать историю Тохи за все годы его участия в форумах?​

Совсем коротко: с 2005 года он участвовал в операциях Hack-All.net, позднее известного как Exploit.in, с 2016 года — был оператором jabber-сервера TheSecure.biz — этот домен он поймал на отложенном заказе после того, как он стал доступен для регистрации (предыдущий владелец jabber-сервера — Flycracker — был арестован), затем по неизвестной причине Тоха покинул Exploit в 2017 году — заявив, что «отдал» его доверенному лицу, другу. В сентябре 2018 года был зарегистрирован домен xss.is, и Тоха перезапустил Damagelab.org под именем XSS.is, один из его предыдущих администраторов — Ar3s — был освобождён в августе 2018 года и нашёл старый бэкап от 2015 года.
Последним владельцем DamageLab.org был Chococream, который исчез весной 2018 года, если не ошибаюсь — в марте 2018 года форум прекратил свою работу; предыдущий владелец и соадминистратор Ar3s — Сергей Ярец был арестован в ноябре 2017 года в Беларуси по делу «Андромеды», в августе 2018 года он был освобожден — отсидев полгода в тюрьме.
Если коротко рассказать о владельцах DamageLab, то это будет так: Winux (стартовал с winux.net.ru) -> LonelyWolf -> Ar3s -> Chococream -> Toha -> ? (история выше)

Как вы думаете, почему его задержали именно сейчас, спустя несколько лет?​

Трудно сказать — ведь на самом деле этот парень является администратором форума уже более 20 лет, и я не хочу строить догадки
Но это французское расследование, похоже, серьёзное, поскольку оно началось в 2021 году, а уже в 2024 году они переместили следственную группу на Украину.
Конечно, можно предположить, что это действительно началось с расследования какого-то вируса-вымогателя, но насколько я понимаю (и другие ребята) — сам форум расследуется как заговор и преступная организация.
Поэтому я предположил, что на самом деле не только Тоха в этом деле
Но кто-нибудь из нас, как модераторы,
Это было главным беспокойством — почему они «приманивают» его и держат в сети
Чтобы собрать больше данных. Нечто подобное произошло в своё время с Hansa Market.
Но я думаю, что это было даже раньше, например, в случае с Carderprofit (но вам следует проверить это утверждение)
Когда кого-то арестовали — и затем LE в течение ограниченного периода времени использовал форум как приманку
Предположительно что-то подобное снова происходит с BF.

Информация о работе Hansa Market: https://www.wired.com/story/hansa-dutch-police-sting-operation/

Цитируя предложение «уже в 2024 году они переместили следственную группу на Украину»

Я хотел спросить об этой дате, потому что в апреле 2024 года на форуме обсуждалась работа на Украине, и я знаю, что до этой даты она была разрешена после того, как Тоха сделал следующее заявление:​

Нажмите Enter или щелкните, чтобы просмотреть изображение в полном размере.

Это никогда не разрешалось. Работа по CIS всегда была запрещена.

Но как вы думаете, знал ли он, что кто-то более крупный проводил расследование в отношении него или форума, и решил начать уделять больше внимания этой украинской проблеме?​

Дело в том, что, знаете ли, мы можем много говорить о каком-то недооценивании некоторых вопросов или двуличии, не могу сказать этого как следует.
Например, программа-вымогатель была запрещена в результате инцидента с трубопроводом Colonial.
Но это никогда не означало, что рынок доступа к учетным данным каким-то образом регулируется.
Когда большинство игроков были злоумышленниками, занимающимися вымогательством
Я очень сомневаюсь, что проблема была в каком-то преступлении против украинцев Я думаю, проблема была просто в переизбытке дел Интерпола с эпизодами программ-вымогателей.
которые идут напрямую в XSS
и это не только моё мнение — я думаю, это общее понимание
что на самом деле проблема в том, что никто не запрещал программы-вымогатели
Это только вы знаете, некоторые — игра — объявят, что нет маркетинга RaaS — тогда это не RaaS — когда на самом деле все крупные представители RaaS всегда были там представлены — даже Тоха был арбитром — некоторых жалоб игроков RaaS, включая известную жалобу на LockBitSupp (с Мишоном)

Итак, главная проблема XSS заключалась в обсуждении программ-вымогателей на форуме, и это стало прямой причиной недавних событий.​

Проблема была не просто в обсуждении, а в бизнесе, связанном с программами-вымогателями.
Потому что мы можем видеть, что форум был похож на
Дай мне найти правильное слово
«Поставщик инфраструктуры» для бизнеса, связанного с программами-вымогателями
Место, где люди встречались, заводили связи и снабжали свои RaaS-проекты практически всем, чем только можно.
Я думаю, это была настоящая проблема
Вот почему мы решили просто запретить всю коммерцию на DamageLib.
Поскольку это приводит к проблемам или в никуда.

Стоит ли ожидать новых исков против других форумов, на которых разрешено обсуждение программ-вымогателей?​

По вашему вопросу — я думаю, что форум Exploit может быть следующим (только предположение)
Форум должен быть только местом для обсуждений, но он словно переопределил себя как торговую площадку.
И вы видите, что многие торговые площадки уже были обанкротились в 2021 году.

Люди, выдающие себя за админов XSS, не связались ни с одним модератором, верно? Даже ни одного личного сообщения.​

Нет, потому что мы уверены, что это операция LE.
СБУ Украины
Люди никогда так не поступают — если хотят с кем-то поговорить. Можно написать в личку или предложить связаться с кем-нибудь в каком-нибудь мессенджере — но эта херня даже в LE выглядит так, будто бы это было так.

Я имею в виду, что это совершенно очевидно, даже в тот день, когда был объявлен арест, PRODAFT заявили, что они не будут покупать больше аккаунтов XSS.​

ссылаясь на это заявление от 23 июля: https://x.com/PRODAFT/status/1948009956017422600

Я думаю, что это действительно общее понимание всей ситуации (что сегодня в андеграунде встречается крайне редко).
Обычно все еще есть некоторые мечтатели или верующие.
Кто может купить какую-нибудь чушь?
Но не в тот раз
Вы можете сами прочитать (и вы, насколько я понял, прочитали) эту длинную ветку на Exploit
Видно, как изменилось мнение «последних верующих» к концу, к общему пониманию.
И все, кто выступает против этого — вероятно, сами были LE — поскольку все счета не были замечены ни в каких обсуждениях ранее
Когда XSS был в сети в течение некоторого короткого времени (между их последним заявлением и нашим) — я думаю, что XSS онлайн был около 19 пользователей (смехотворно мало) — и все, кто поддерживал «нового админа», были троллями или CTI

Говоря о сообществе людей, что отличает XSS от других форумов?​

Я думаю, что этот подход, при котором содержание все еще имеет значение,
его название (DamageLab) и история
кто-то мог бы также сказать — Конкурсы статей )
и он будет прав в каком-то смысле — но не в отношении «наград», а скорее в отношении какого-то, как вы знаете, общественного эффекта.
когда вы пытаетесь добиться признания
вашими реальными знаниями
а не каким-то троллингом или ерундой
или потому что кто-то просто успешен
эта вещь была действительно уникальной
и это то, что мы пытаемся сейчас спасти с помощью DamageLib

Потому что главная идея — объединить все сообщество в этот новый форум, или нет?​

Я имею в виду, все ли люди прошлого приняли это изменение или будут люди, которые просто оставят всё как есть и уйдут?​

Честно говоря, главная идея — спасти людей от возможных арестов.
потому что если они продолжат использовать старый форум — это будет наиболее вероятным последствием
в последнем заявлении, например, старый админ уже объявил, что хочет сделать платную регистрацию на форуме )
Сомневаюсь, что он захочет принять за это Монеро )))
пахнет довольно отвратительно
и конечно — спасти наше сообщество
это было настолько коммерчески ориентировано, и это до сих пор так
безопаснее заниматься торговлей не на форумах

Я думаю, что, как и Тоха, на Украине будет жить больше людей, и, возможно, за ними будут присматривать другие. Как вы думаете, эти люди в безопасности, как и сейчас?​

Я думаю, что есть две группы людей, которые подвержены большему риску, чем кто-либо другой:
- люди, которые были зарегистрированы на XSS и вели там какой-либо бизнес, но проживают в странах Европы, любых странах, входящих в Европол;
- конечно — сами украинцы.
так что может это и звучит смешно, но в основном мы спасаем эти группы людей, потому что СБУ хочет их уволить или сделать «рабами», которые потом будут устраивать им DDOS-атаки на какую-нибудь политическую хрень

Вы заметили какую-либо необычную активность до ареста 22 июля?​

удивительно — нет. конечно, была какая-то безумная история с этим арбитражем «comedy_club» — когда какой-то сумасшедший армянский ублюдок из Москвы пообещал отмыть USDT на сумму 666 тысяч, но на самом деле он использовал его счет в OKX и отдал клиенту деньги, которые были еще грязнее, чем были до этого
в результате — этот USDT был заблокирован — и это была очень смешная жалоба на арбитраж
В любом случае, Тоха решил, что comedy_club несет ответственность только за 2%, которые он взял со своего клиента
ироничная деталь: когда этот клиент написал в Tether, чтобы понять, почему USDT был заблокирован, они посоветовали ему обратиться за подробностями в украинскую киберполицию.
и это было причиной того, что в первые дни люди видели некую связь
между двумя этими ситуациями
но я думаю, что в этом случае они вообще не связаны
по крайней мере мне это покажется странным — если у ЕвроПола есть свободные 666 тысяч, чтобы заниматься такой ерундой, просто чтобы найти какого-то несчастного армянина в Москве

Кто будет новым администратором DamageLib?​

мы решили сменить все наши ники — но для любого человека из XSS совершенно очевидно, кто мы, личность не изменишь скажем так — технический администратор — тот же парень, который управлял файлообменником DamageLab — и домен onion остался прежним, но все наши решения мы принимаем сообща — просто голосованием. Конечно, мы не думаем, что «это наш форум», «сообщество принадлежит нам и т. д.» — нет, мы просто действуем в интересах сообщества и многие вопросы мы будем решать вместе с нашим собственным сообществом — в открытых дискуссиях. и мы уже пытаемся это делать

Как вы думаете, что будет с Тохой?​

Думаю, он будет сотрудничать. Просто не вижу смысла с ним бороться, потому что иначе он будет ответственен за все эти деньги, полученные от программ-вымогателей, которые прошли через него, и никто его даже не осудит, если он это сделает.
А по поводу работы в СБУ — это его личный выбор
Опять же — никаких суждений и домыслов

Хотите ли вы сделать ка​

кое-либо заявление?​

Я замучен, столько дел на самом деле нет — все, что я хочу сказать — ребята, всегда будьте критичны и параноидальны ко всему, что происходит вокруг вас, не будьте наивными и не верьте, что кто-то, кто уже обвинен и находится в глубоком дерьме — будет думать о ком-то другом, кроме своей собственной задницы. не бойтесь, блядь, менять все, что у вас есть — предполагать, что все, что у вас было — было скомпрометировано, ваш любимый форум был скомпрометирован, ваш любимый админ скомпрометирован, и теперь у копов есть все, и они жаждут использовать это против вас! opsec очень важен, он, черт возьми, необходим. не давайте никому возможности собирать любую информацию о вас, не используйте эти тупые криминальные jabber-серверы Clearweb, эти гребаные дебиловые депозиты, эскроу — все это было создано только для того, чтобы собирать улики на вас. будьте умнее — используйте whonix — оставайтесь в Tor — выключите весь гребаный js )) и да хранит вас Бог. Аминь

P.S. Хороший разбор истории с XSS.IS, но я думаю, что история еще не закончена..
У меня такое впечатление, что одна спецслужба нагнула другую и перехватила контроль.