Форум XSS: от DaMaGeLaB до ликвидации в 2025 году [анализ слитой БД]

Не удалось прогрузить медиа

By Ransomnews Research TeamJune 29, 2026Updated:June 30, 2026

XSS.is, самый влиятельный русскоязычный форум киберпреступлений за последнее десятилетие и прямой наследник старого форума DaMaGeLaB, потерял своего администратора 22 июля 2025 года, когда французская и украинская полиция арестовала в Киеве 38-летнего мужчину. Европол, координировавший операцию «Рататуй», заявил, что форум насчитывал более 50 000 участников и что подозреваемый заработал более 7 миллионов евро, выступая в качестве арбитра в сделках между преступниками. Исследовательская группа Ransomnews проанализировала просочившуюся копию базы данных форума, содержащую 123 241 сообщение в 51 разделе торговли, чтобы точно показать, как работала торговая площадка и какое место она занимала в цепочке атак программ-вымогателей.

Это основанный на данных анализ, а не перепечатка пресс-релиза. Все цифры, указанные в приведенном ниже «просочившемся наборе данных», получены в результате нашего собственного анализа резервной копии базы данных XenForo форума. Мы удалили все отдельные IP-адреса, имена пользователей, электронные письма и хэши паролей и публикуем только сводные данные. Официальная информация об аресте предоставлена Европолом, СБУ Украины и указанными в источниках репортажами. В случаях, когда авторство оспаривается, мы указываем это.

   // XSS IN NUMBERS  ​

A mature marketplace, by the numbers
 
                                                               

Эти цифры описывают зрелый, структурированный рынок, а не разрозненную группу оппортунистов ("всеядных" -lisa99). Анализ базы данных XSS, проведенный Ransomnews; отдельные IP-адреса удалены.

Что представлял собой форум XSS и почему он имел значение?​

XSS — это русскоязычный форум киберпреступников, функционировавший как оптовый уровень экономики вторжений. Здесь встречались авторы вредоносного ПО, продавцы эксплойтов, брокеры первичного доступа, спамеры и участники программ-вымогателей для совершения сделок. Члены покупали и продавали эксплойты нулевого дня, исходный код вредоносного ПО, скомпрометированные корпоративные доступы и журналы кражи данных. Что особенно важно, сам форум выступал в качестве доверенной третьей стороны: он обеспечивал депонирование («гарантию») и арбитраж, позволяя двум преступникам, никогда не встречавшимся, заключать сделки, не будучи обманутыми. Именно эта функция доверия, а не какой-либо отдельный продукт, сделала XSS структурно важным для всей экосистемы.

История XSS охватывает два десятилетия российского подполья. DaMaGeLaB функционировал с 2004 по 2017 год, когда был арестован его администратор «Ar3s». В 2018 году частичная резервная копия DaMaGeLaB была перезапущена под названием xss.is оператором, использующим никнейм «Toha», который ранее, в 2005 году, основал форум Hack-All и переработал его в Exploit.in в 2006 году. Самые ранние временные метки регистрации в просочившейся базе данных относятся к ноябрю 2004 года, что соответствует происхождению от DaMaGeLaB.

Не удалось прогрузить медиа

Внутри базы данных: что раскрывают 123 241 сообщение​

Утекшая резервная копия содержит
14 509 тем обсуждений,
123 241 публичное сообщение,
7 706 зарегистрированных учетных записей и
закрытый слой из 6 168 бесед, содержащих 6 776 сообщений.

Языковой сигнал однозначен: во всех текстах сообщений 62,2% буквенных символов — кириллица, а 53,6% учетных записей зарегистрированы с электронной почтой в домене СНГ (.ru, .su, .by, .ua, .kz). Российские почтовые сервисы (mail.ru, yandex.ru, bk.ru, rambler.ru) вместе взятые превосходят Gmail. Меньшинство использовало ProtonMail, стандартный выбор в области операционной безопасности в этом сообществе.

Сопоставление 51 раздела по объему сообщений показывает, для чего на самом деле был предназначен форум. Помимо неизбежных разделов, не относящихся к теме, и административных форумов, наиболее активными разделами для торговли являются уязвимости веб-приложений, вредоносное ПО, эксплойт-комплекты и шифрование, уязвимости сетей и Wi-Fi, а также специальный раздел доступа («оболочки, FTP, root-права, базы данных, SQL-инъекции, RDP»). Заголовок одной из административных тем, сохранившихся в дампе, — жалоба на спам от «thesecure.biz» — сам по себе является артефактом: thesecure.biz — это зашифрованный Jabber-сервер, которым, как позже заявила Европол, управлял арестованный администратор.

Не удалось прогрузить медиа

Сведение сообщений к карте частоты ключевых слов дает второе представление о спросе.
Наиболее обсуждаемыми товарами являются

• журналы кражи данных,
• услуги шифрования и защиты от дезинформации (делающие вредоносное ПО необнаружимым),
• данные кредитных карт,
• доступ к сети,
• эксплойты и
• веб-оболочки.

Это сырье для вторжений программ-вымогателей, которым торгуют на один уровень выше по течению от самой атаки.

Форум работал в московское рабочее время​

Время публикации — один из самых сложных сигналов для подделки, поскольку оно отражает фактическое время бодрствования и работы пользователей. Данные XSS показывают классическую кривую зависимости активности от рабочего дня. Низкая активность ночью, резкий рост с 06:00 UTC и пик между 09:00 и 13:00 UTC. Этот промежуток времени соответствует середине рабочего дня в Москве (UTC+3). Преобладают будние дни, самые загруженные — понедельник и вторник, с явным спадом в выходные. Это ритм работы в дневное рабочее время, а не разрозненной глобальной группы любителей, и он совпадает с той же закономерностью, которую обнаружил Ransomnews, засекая время публикации 16 699 сообщений на сайтах с утечками программ-вымогателей.

Не удалось прогрузить медиа

Кто есть кто: реальные участники XSS-атаки​

Европол не назвал имя арестованного в Киеве человека, ссылаясь на текущее расследование, но сообщество киберпреступников и исследователи открытого программного обеспечения сошлись на псевдониме «Тоха», давнем администраторе XSS и нескольких предшествующих форумов. По данным KrebsOnSecurity, Тоха был одним из основателей Hack-All в 2005 году, переименовал его в Exploit.in в 2006 году и продал Exploit в 2018 году, в том же году, когда DaMaGeLaB был перерожден в XSS под его контролем. Европол оценил, что подозреваемый провел в киберпреступности почти 20 лет, что соответствует действительности.

Атрибуция личности остается предметом серьезных споров. Заявление о деанонимизации 2022 года, позже распространенное в 2024 году лидером LockBit «LockBitSupp», когда он искал помощи в разоблачении Тохи, указывало на россиянина по имени Антон Авдеев. Собственный поиск KrebsOnSecurity, основанный на записях регистрации доменов, связанных с историческим адресом электронной почты Тохи, выявил другого, более вероятного кандидата — жителя Киева Антона Медведовского, чья дата рождения в декабре 1987 года совпадает с возрастом арестованного подозреваемого. След Авдеева, возможно, был преднамеренным отвлечением внимания. Зашифрованный Jabber-сервер форума, thesecure.biz, связан с этим же кластером: первоначально им управлял украинский киберпреступник Сергей Вовненко («Флайкрекер»), прежде чем, по его словам, он был захвачен им во время его заключения. На карте ниже показаны задокументированные связи.

Не удалось прогрузить медиа

Как XSS подпитывала цепочку поставок программ-вымогателей​

XSS находилась в авангарде почти всех крупных брендов программ-вымогателей последних пяти лет. Украинская СБУ заявила, что среди членов форума были киберпреступники, связанные с группами, занимающимися программами-вымогателями, включая REvil, LockBit, Conti и Qilin. Механизмом была торговля доступом. Первоначальные брокеры доступа предлагали точки доступа в корпоративные сети, часто в виде структурированных аукционов с начальной ценой, шагом (увеличением ставки) и блиц-продажей («купить сейчас»). Flare задокументировала один показательный случай с начальной ценой в 25 000 долларов США, шагом в 1000 долларов США и блиц-продажей в 40 000 долларов США за доступ к американскому производителю с доходом в 800 миллионов долларов США. Аффилированный партнер покупает этот доступ, осуществляет вторжение, а брокер никогда не прикасается к программе-вымогателю.

Масштаб этой цепочки измерим. Intel 471 зафиксировала 4878 заявлений о доступе и продаже учетных данных от брокеров, предоставляющих первоначальный доступ, в период с июня 2024 года по май 2025 года, сопоставила 70 из них с жертвами, имена которых позже появились на сайтах утечек программ-вымогателей, и измерила медианное значение примерно в 19 дней между появлением информации о доступе и появлением жертвы в блоге об утечках. Этот разрыв является наиболее полезным показателем для защитников во всей этой истории, и мы вернемся к нему ниже.

Запрет программ-вымогателей 2021 года: признак, а не реформа​

13 мая 2021 года, через несколько дней после того, как атака DarkSide на Colonial Pipeline вывела программы-вымогатели на первые полосы мировых изданий, администратор XSS заблокировал всю деятельность, связанную с программами-вымогателями, их продажу, аренду и партнерские программы, а также удалил существующие темы, посвященные программам-вымогателям. В течение нескольких часов этому последовали Exploit и RaidForums. Этот шаг часто описывается как «обращение» форумов против программ-вымогателей. Анализ данных показывает более узкую интерпретацию: запрет устранил громкие, рекламные каналы привлечения партнеров, которые привлекали западные правоохранительные органы, в то время как более тихая и ценная торговля доступом, которая фактически подпитывает программы-вымогатели, продолжалась. Это было управление репутацией, а не изменение бизнес-модели.

Моделирование угроз: место XSS в цепочке атаки​

Размещение XSS в цепочке кибератак Lockheed Martin, сопоставленной с MITRE ATT&CK, объясняет, почему его устранение имеет непропорционально большое значение по сравнению с одним арестом. Форум не находился на шумном конце цепочки, на этапе выполнения или воздействия. Он находился в самом начале, в разработке ресурсов (ATT&CK TA0042) и как сторона предложения первоначального доступа (TA0001). Участники приобретали инфраструктуру и возможности (T1583, T1588), затем торговали действительными учетными записями и внешними удаленными сервисами (T1078, T1133, T1650), которые партнеры напрямую использовали при вторжениях.

Не удалось прогрузить медиа

Вот почему группы разведки рассматривают срыв работы форума как вмешательство «слева от взрыва». Нападение на рынок доступа обходится дешевле и происходит раньше, чем борьба с шифрованием на конечной точке. Медианный 19-дневный период между появлением записи о доступе и появлением утечки на сайте — это окно обнаружения в реальном времени: организация, отслеживающая свои собственные домены, учетные данные и следы украденных логов на этом рынке, получает в среднем почти три недели предупреждения до получения записки с требованием выкупа.

Индикаторы компрометации XSS по странам​

Журналы доступа форума в утекшем наборе данных охватывают 19 192 события по 7061 уникальному IP-адресу в 79 странах. В таблице и диаграмме ниже приведена сводная информация по странам. «События» подсчитывают зарегистрированные действия, «Уникальные IP-адреса» — уникальные скрытые адреса, а «Учетные записи» — уникальные идентификаторы пользователей, зафиксированные в каждой стране. Мы скрываем каждый отдельный адрес. Географическое положение следует рассматривать как индикатор маршрутизации и хостинговой инфраструктуры для обогащения разведывательной информации об угрозах, а не как доказательство физического местоположения какого-либо человека.

Россия является крупнейшим источником уникальных учетных записей (564), значительно опережая любую другую страну. Соединенные Штаты и Нидерланды занимают высокие позиции по общему количеству IP-адресов, но эти показатели в основном определяются VPN-серверами, хостинг-провайдерами и ретрансляторами Tor, а не жителями. Геолокация на форуме, посвященном вопросам безопасности и преступности, измеряется маршрутами трафика участников, а не местом их сна; в сочетании с 62% текста на кириллице и московским рабочим временем, центр тяжести явно находится в русскоязычном мире.

Не удалось прогрузить медиа

XSS forum access telemetry, all 79 countries
 
Type to filter by country. Click a column header to sort. Individual IP addresses redacted. Download CSV ↓
 

Ransomnews analysis of the leaked XSS XenForo database. Geography reflects routing/hosting infrastructure (VPN, hosting, Tor), not residency.

Операция «Рататуй»: захват​

Операцию проводили французская полиция и подразделение по борьбе с киберпреступностью прокуратуры Парижа (JUNALCO) совместно с Национальной полицией Украины и СБУ, при координации Европола. Расследование началось в июле 2021 года. 22 июля 2025 года сотрудники полиции задержали предполагаемого администратора у него дома в Киеве и изъяли Jabber-сервер thesecure.biz. Европол охарактеризовал подозреваемого как доверенное лицо, выступавшее арбитром в спорах и обеспечивавшее безопасность транзакций, и оценил его совокупный доход от рекламы, комиссионных сборов и услуг более чем в 7 миллионов евро. СБУ подтвердила, что в число участников форума входили пользователи REvil, LockBit, Conti и Qilin.

Отличие этого изъятия от типичного рейда на форум заключается в закрытом слое. Следователи изъяли не только публичную доску, но и хранилище личных сообщений, а по данным Европола, и Jabber-сервер. Только в нашей копии базы данных в закрытом слое хранилось 6168 бесед. Полномасштабный захват сети в реальном времени содержал бы гораздо больше информации, и именно этого больше всего боятся пользователи подполья.

Последствия: обвал доверия​

XSS-атака вновь появилась на новом адресе Tor через несколько дней, но все предыдущие модераторы были уволены, балансы пользователей обнулены, а вернувшимся пользователям было предложено внести новый депозит. Мало кто ей доверял. Анализ KELA выявил ответвление, «DamageLib», возникшее в результате сбоя, и Intel 471 охарактеризовала последствия как потерю доверия, а не потерю инфраструктуры. К концу 2025 года данные телеметрии угроз показали, что активность первоначального доступа сместилась со старых форумов на RAMP и DarkForums, которые вместе составляли подавляющее большинство наблюдаемых тем доступа.

На самих форумах основным страхом была криминалистика. Как выразился один из участников Exploit в обсуждении ареста, следователи теперь располагают «двумя годами логов Jabber-сервера. Полная резервная копия и база данных форума», материалами, которые современные инструменты могут превратить в готовые досье, связывающие никнеймы, электронные письма, хэши паролей, идентификаторы Jabber, IP-адреса и даже стиль письма. Для торговой площадки, чье единственное ценностное предложение заключалось в «доверенном лице», хранящем все секреты, это более серьезный и долгосрочный ущерб.

Что это значит для защитников​

Закрытие уничтожает центр, а не экономику. Посредничество в доступе, продажа эксплойтов и привлечение партнеров распространяются быстрее, чем любой отдельный арест может это предотвратить. Главный вывод из этих данных заключается в том, что программы-вымогатели начинаются как рыночные транзакции примерно за три недели до события шифрования.

Практический ответ основан на разведывательных данных и осуществляется на ранней стадии: отслеживайте сообщения брокеров первоначального доступа для вашего сектора и именованных активов, следите за появлением учетных данных вашей организации и сессионных cookie в логах похитителей и отслеживайте активность на сайтах утечек в режиме реального времени на странице жертвы. Сократите площадь, которую продают эти брокеры, закрыв уязвимые RDP и VPN, внедрив многофакторную аутентификацию, устойчивую к фишингу, и ротируя учетные данные, которые попадают в массивы данных утечек и краж.

 Изъятие XSS — редкая и реальная победа. Рынок, который он обслуживал, по-прежнему открыт.