俄罗斯黑客案纪实(俄罗斯黑客技术)

编者按

黑客和网络犯罪分子在当今的网络世界里已经可以称得上是最危险的角色之一了。因为他们善于隐匿，难以追踪，对网络用户构成了无处不在的严重威胁。而天网恢恢，疏而不漏，即便那些手端高超的网络罪犯，也大都难逃被法办的命运。今天界小编为您梳理下近些年来被捕的俄罗斯黑客。

众所周知，俄罗斯的黑帽子黑客是黑客骗局和网络盗窃中的不可忽视的力量。虽然有的俄罗斯犯罪分子已经落网，有的尚未被发现，但美国政府以惊人的耐心和时间长度，扼杀了过去十年来重大黑客事件的始作俑者。

即使起诉书和逮捕记录显示了俄罗斯政府为抓捕这些黑客而进行合作的情况。但美国的律师和检察官还是要依靠一套复杂的国际关系，来阻止这些黑客在俄罗斯以外的地区使用他们的犯罪成果。以下是过去八年来的俄罗斯黑客被逮捕情况，有人总结他们的被捕：“不要去度假，这不利于你自由得来诈骗。”

近八年来被捕的8名俄罗斯黑客

1

展开全文

弗拉基米尔·均可曼

（Vladimir Drinkman）

被起诉：2009年1月

被捕：2012年6月（荷兰）

引渡：2015年2月

罪行：黑客历史上一些最大的数据泄露，即哈特兰支付系统、7-11、汉纳福德兄弟和其他杂货连锁店。

弗拉基米尔·均可曼是俄罗斯黑客，据说在2005年至2012年之间，伙同三个俄罗斯人和乌克兰人针对美国零售商进行了一系列引人注目的黑客活动。

均可曼第一次引起联邦执法部门的注意，是在2009年针对另外一名被绳之以法的黑客阿尔伯特·冈萨雷斯的起诉，他作为该案的二号黑客出现。现在已经知道均可曼曾在渗透哈特兰支付系统、7-11、汉纳福德兄弟和其他零售商事件中协助过冈萨雷斯。

只要一拿到窃取来的支付卡凭证，均可曼就和他的同伙以高达每账户50美元的价格将信息出售给“转储经销商”。他们还将窃取来的数据进行编码写入磁条卡，并使用这些伪卡进行消费，还从世界各地的自动取款机上提取现金。均可曼共协助冈萨雷斯渗透了17个不同的零售商，其中有三个零售商遭受了超过三亿美元的损失。

一段时间以来，美国联邦当局一直都无法对均可曼实施抓捕，因为认为他就住在俄罗斯，而那里几乎是不可能进行引渡的，特别是对于网络犯罪这样的罪犯。

但在2012年联邦特工得知，均可曼与另外一名据说曾参与过冈萨雷斯犯罪团伙活动的黑客到欧洲旅行。不仅如此，通过分析均可曼在旅行中拍摄的照片，以及通过他的手机所传送的他曾到过的地方的GPS信息，美国当局跟踪到了他的行踪。

由于这些失误，荷兰当局与美国政府合作，在一家酒店外成功将均可曼逮捕。

均可曼被逮捕后一直拘押在荷兰，直到2015年2月，海牙地方法院才批准将他引渡到美国新泽西，并在那里对他所犯的罪行进行审判。

2

Dmitriy Smilianets

被起诉：2009年1月

被捕：2012年6月（荷兰）

引渡：2012年9月

罪行：Dmitriy Smilianets是Drinkman的其中一名同谋，主要负责销售此前活动中（包括入侵信用卡处理公司Heartland Payment Systems以及其他15个组织机构）窃取的数百万信用卡数据。

Smilianets正是上文提到的与Drinkman一起在荷兰度假并被逮捕的另一名黑客。虽然，Smilianets比Drinkman早两年多被引渡回美国，但是他一直到Drinkman承认罪行的第二天才招认自己窃取并销售信用卡数据的罪行。与此同时，他们的其他三名同谋目前仍在逍遥法外。

3

罗曼·塞列兹涅夫

（Roman Valerivich Seleznev）

被起诉：2011年3月

被捕：2014年7月（马尔代夫）

引渡：2014年

罪行：Seleznev犯有38项指控，其中包括五项银行诈骗、八项针对受保护计算机的故意损害、 八项从受保护计算机中获取信息、三项占有15个及以上未经授权的接入设备（窃取信用卡号码、 一项参与并阴谋占有“诈骗影响腐败组织”、 两项未授权接入设备非法交易及五项严重身份信息盗窃等。

据悉，Seleznev的攻击行为导致美国等国金融机构的 200 万个信用卡账号被盗，造成了至少1. 7 亿美元的经济损失，另外未来全部的经济损失可能达到几十亿美元。其网络攻击对象包括全世界 700 家金融机构和 500 家企业，其中包括多家在美国西雅图地区的餐馆。

据法庭文件显示，联邦调查局在过去十多年时间里一直在秘密监控Seleznev的一举一动。但是此人行动十分小心，避免前往和美国签署引渡协议的国家和地区。

直到2014 年 6 月，美国当局迎来了一个抓捕Seleznev的绝佳机会，当时调查人员获悉，Seleznev准备和女友一起到马尔代夫度假。虽然马尔代夫并未和美国签署引渡协议，但是美国执法部门成功劝说马尔代夫警方抓捕Seleznev。

一个月后，在马尔代夫机场，Seleznev被捕。他随后被警方移交给了美国当局，并乘坐私人飞机飞往美国关岛，随后飞往美国在华盛顿州的一座联邦监狱。

罗曼·塞列兹涅夫（Roman Seleznev），今年32岁，是俄罗斯议员瓦勒里·塞列兹涅夫（Valery Seleznev）之子。据悉，瓦勒里·塞列兹涅夫是俄罗斯总统普京的亲密盟友。有报道称，Seleznev的父亲曾指责美国司法部门“绑架”了自己的孩子，他还对俄罗斯媒体表示，美国司法部门对他儿子的指控是谎言。

2017年4月，年仅32 岁的Seleznev承认自己的罪行，并被判处27年监禁，成为美国历史上针对网络黑客监禁时间最长的判决。在判刑之前，罗曼·塞列兹涅夫请求美国主审法官理查德·琼斯（Richard Jones）的宽恕。他向受害者道歉，对所犯罪行感到悔恨，并呼吁法官判刑时考虑他的医疗问题。2011年，他在摩洛哥因爆炸受伤。

虽然检察官并没有指控罗曼·塞列兹涅夫干预去年的美国大选，但据称黑客通过他的垃圾邮件可以入侵民主党的电脑窃取数据。为了减刑，罗曼·塞列兹涅夫甚至提出帮助打击黑客。他向美国政府交出了自己的4台笔记本电脑和6个闪存驱动器，和美国官员会面讨论黑客活动。但是，检察官说，他提出帮助打击黑客的建议太晚了。

4

Aleksandr Andreevich Panin

显示：2011年12月

被捕：2013年7月（美国）

罪行：SpyEye银行木马的共同创始人和经销商。

Panin曾利用“Gribodemon”的网名向犯罪团伙兜售SpyEye谋取经济利益，他的逮捕和引渡比其他认的故事要少一点。像Drinkman，Smilianets和Seleznev一样，他也是在假期休息时被捕的。

但在这种情况下，他没有被正式逮捕或引渡。在多米尼加共和国，多米尼加官员设法让他乘飞机前往美国，当他降落时被捕。2013年7月1日在亚特兰大一个机场Panin被当局逮捕，并在几个月后认罪。28岁的俄罗斯黑客Aleksandr Andreevich Panin被判处九年零六个月监禁以及3年的监外看管。

5

Maxim Senakh

被起诉：2015年1月

被捕：2015年8月（芬兰）

引渡：2016年1月

罪行：Senakh是Ebury僵尸网络背后的罪犯之一，造成数百万美元的欺诈性收入。

被称为Ebury的恶意软件可以从被感染的计算机和服务器上获取OpenSSH登录凭据。这些被盗的细节随后用于创建Ebury僵尸网络，控制计算机和服务器网络，它们都通过指挥和控制（C＆C）中心接受Senakh和他同伙的指示，每天可以发送3500万封垃圾邮件。

僵尸网络用于通过点击欺诈和垃圾邮件的形式生成和重定向流量，从而使Senakh获得数百万美元的收入。作为认罪协议的一部分，41岁的Senakh还承认，通过域名注册商创建账户来扩展僵尸网络的能力。

基于Linux的Ebury于2011年首次被发现。恶意软件被安全研究人员称为“复杂的后门”，因为它使用的各种技术不仅可以窃取凭据，还可以保持对受损服务器的访问。Ebury记录并发送样本、IP地址和OpenSSH侦听端口到其运营商，以及用于访问易受攻击服务器尝试错误密码，包括私钥密码和加密私钥。

据ESET研究人员介绍，2014年，Ebury僵尸网络被用于实施Windigo恶意软件运动，该运动感染了50万台电脑和25,000台服务器。

2015年8月8日，美国司法部在美芬引渡条约基础上将Senakh临时拘禁在芬兰。2016年1月，Senakh被移交美国审判，并被指控多项计算机欺诈罪和滥用罪。据悉，他将于2017年8月3日宣判，可能会被判处有期徒刑30年。

6

Andrey Ghinkul

被起诉：2015年10月

被捕：2015年8月（塞浦路斯）

引渡：2016年2月

罪行：负责创建和传播Dridex恶意软件包，以窃取银行凭证和受害者的银行帐户的主要案犯之一。

Dridex恶意软件的传播方式主要是垃圾邮件，附件是一个伪造Microsoft word文档。据调查发现目标银行主要位于美国、罗马尼亚、法国、英国等地。据不完全统计，由Dridex造成的损失已经达到4000万美元（美国1000万美元、英国3000万美元）。

最终，FBI于2015年8月28日在塞浦路斯逮捕了时年30岁的Dridex管理员Andrey Ghinkul（也被称之为Andrei Ghincul 和Smilex）。并在次年2月完成引渡，其被控告的罪名有：预谋犯罪；损坏电脑；未经授权访问计算机并意图诈骗；通信欺诈以及银行欺诈等，Ghinkul在二月份被起诉，并将在七月份被判刑。他将面临15年的监禁和50万美元的罚款。

7

Yevgeniy Aleksandrovich Nikulin

被起诉：2016年10月

被捕：2016年10月（捷克共和国）

罪行（据称）：入侵了Dropbox、Formspring和LinkedIn。

2016年秋天，Nikulin因在LinkedIn，Dropbox和Formspring的违规行为而被指控并在捷克共和国被逮捕，Nikulin是另外一个在休假期间被扣留的俄罗斯人。他目前正坐在布拉格的一个牢房里，而美俄则与捷克当局就其潜在的引渡进行了斗争。

2012年5月14日—7月25日期间，Nikulin入侵了Dropbox的网络；2012年6月13日—6月29日期间，他入侵了Formspring；2012年3月3日—4日，他又入侵了LinkedIn。

当局称，Nikulin当时拿到了属于LinkedIn和Formspring雇员的登录凭证，这进一步促成了他的黑客行为。据悉，他窃取到了超过6800万Dropbox用户、以及超过1.17亿LinkedIn会员的详细资料。

FBI调查员还表示，在窃取了上述三家公司的数据之后，Nikulin至少有3名同伙帮他兜售和交易窃取的数据。

在国际刑警组织发布国际逮捕令之后，Nikulin最终于2016年10月5号在捷克首都布拉格被捕。美国当局指控Nikulin犯下了三项计算机入侵、两项故意传播信息/代码/或对一台受保护的计算机造成损害、两起身份盗窃、一起非法贩卖未经授权访问的设备、以及一起谋划犯罪等罪行。

数罪并罚，Nikulin或将面临最高32年的刑期，以及超过百万美元的巨额罚金。有人猜测，在去年的选举中，Nikulin可能在黑社会民主党全国委员会中扮演了一个角色，或者至少可能会认识那些确实发挥作用的人。

8

Peter Yuryevich Levashov

（又名PeterSevera或“PeteroftheNorth”、

彼得·尤耶维奇·莱瓦肖夫）

被起诉：2017年3月

被捕：2017年4月（西班牙）

罪行：Kelihos僵尸网络（迄今为止最高产的网络之一）的幕后黑手。

像Nikulin一样，他的被捕也与美国选举黑客入spec关系，但Kelihos是被官方指控。Levashov，现年36岁，来自俄罗斯圣彼得堡，从2010年前后便开始通过僵尸网络对个人电脑发动攻击。

早在两年前，Levashov在运作另一个僵尸网络、指挥拉尔斯基等人大量发送垃圾邮件，其间便已被美方调查人员盯上。那起案件中，拉尔斯基等人落网并被判刑，Levashov却一直逍遥法外。

按美国司法部的说法，“Kelihos”僵尸网络的攻击对象为全球范围内使用微软视窗系统的个人电脑。这些电脑被恶意软件侵入，使得Levashov得以在用户毫不知情的情况下远程控制它们，窃取包括密码在内的用户银行账户资料，甚至锁定目标电脑的个人信息，以此索要高额“赎金”。数量最多时，被Levashov“黑”掉的电脑一度多达10万台，其中5％至10％的IP地址位于美国。

Levashov甚至打出广告，自称已“专业从事垃圾邮件和广告发送业务18年”。Levashov的定价标准划分得也相当细致。譬如，对合法广告，他的要价是每100万封垃圾邮件200美元；对钓鱼攻击等行为，价格为每100万封垃圾邮件500美元；而对非法的“哄抬股价、拉高卖出”行为，Levashov不仅要按劳取酬，还要从最终的收益中抽成。

Levashov的妻子先前曾向俄罗斯媒体透露丈夫被捕与美方对俄罗斯涉嫌干涉去年总统选举的调查有关。网上有传言称他干涉了美国2016届总统的选举，还有人称Levashov可能与俄罗斯安全部队或情报机构有关，而且与那些强大的俄罗斯黑客关系密切。

2017年4月，PeterYuryevichLevashov在巴塞罗那被西班牙警方成功捕获。Levashov平常住在俄罗斯的圣彼得堡，被捕时他正在和家人在西班牙度假。目前，他正在等待被引渡回美国接受判处。

为什么俄罗斯“盛产”黑客?

俄罗斯政府对黑客行为的管理相对宽松，只要他们的行动与俄罗斯的利益不发生冲突，并且愿意偶尔为俄罗斯的情报机构工作，就可以在俄罗斯境内不受约束地采取行动。所以黑客们没有被抓捕的忧虑，并且利用黑客犯罪赚来的赃款过上了奢侈的生活。

事实上，西方许多同行表示，包括俄罗斯在内的东欧拥有着世界上最强大的黑客们，他们远胜于黑客界的三脚猫们。

“俄罗斯的黑客文化是非常复杂的”，Security Focus网站的高级分析师 Ken Dunham 说道，“这些家伙编程水平非常高，他们很懂网络——他们知道如何在别人的网站自由出入还不留痕迹。”

全世界的黑客大致可以分为以下五个门派：美国、 西欧and 北欧、东欧（以俄罗斯为代表 ）、 中国、以色列。这五大门派中以俄罗斯为代表的东欧等国的技术可谓精湛，而且作品偏实用。相比于美国黑客的的创新，西欧北欧黑客的张扬，中国黑客的稳重和以色列黑客的求索精神，俄罗斯黑客更低调。

究其原因可能是

1、擅长数学，俄罗斯大学的数学教育水平一直是国际标准

2、天气冷，为黑客创造了客观工作条件……

3、俄语语法的极其复杂导致俄罗斯人的思维与众不同地严谨

4、为了谋生，“囊中羞涩”

良好的数学基础与低调的做事风格充分融合，再加上寒冷的天气和低迷的经济，使俄罗斯黑客们形成了独树一帜的风格。早些时候，很多恶意软件的开发者都是俄罗斯人，而他们做这个只是为了谋生。在俄罗斯，把恶意软件卖到黑市能赚不少钱，但同样的竞争也非常激烈。

俄罗斯黑客开发的许多软件，比如，яндекс-俄罗斯最大的搜索引擎，创建于1997年，比Google早一年；谷歌创始人之一的美籍俄罗斯裔谢尔盖·布林，大学前是在俄罗斯受的教育，24岁的时候创立了谷歌公司；卡巴斯基软件、WinRAR、MHDD、Dr.Web等等；还有很多破解程序、补丁也来自俄罗斯。

俄罗斯的黑客们从小时候起就开始学习编程，因为很多人在小时候负担不起上网的费用，所以他们很早就学会如何破解宽带密码。对他们来说，一套微软 Office 软件非常的昂贵，他们负担不起直接购买软件的经济压力，但却有着破解软件的电脑技巧。

并且这些黑客还有着自己的“骄傲”，他们不会使用各种工具黑进别人的系统，只会靠自己一行一行地敲代码来突破防火墙。他们拥有着能够进入美国科技大公司工作的技术，却着迷于接订单黑掉客户竞争对手的网站这种黑活。

“我们把俄罗斯称为『黑客区』，因为这里有太多黑客了，我们非常在行。”莫斯科的一位名叫 Igor Kovalyev 的黑客说道，“在这里，黑客是为数不多的好工作之一。”

正因为俄罗斯黑客群体庞大，许多人铤而走险，成为了黑帽黑客，几乎每年都有俄罗斯被捕。除了我们上述提到的八位黑客，还有一些黑客也在近年被捕，曾备受瞩目。

一、世界最性感俄女黑客在美被捕

2010年10月，美国纽约南区联邦法院开庭审理了19名俄罗斯人组成的网络盗窃团伙案件。这些人被怀疑利用网络盗窃他人账户资金，总计数额超过三百万美元。这19名俄罗斯年轻黑客通过病毒程序偷窃他人银行账户密码，窃取了大量存款。

其中，备受瞩目的是被西方媒体称为“世界最性感的女黑客”斯维钦斯卡娅。斯维钦斯卡娅是纽约大学4年级学生，她被指控非法盗窃5个银行账户，窃取3.5万美金，可能被判处40年有期徒刑。

二、对Amazon进行DDoS攻击的黑客被捕

2012年7月，25岁的俄罗斯黑客Dmitry Olegovich Zubakha因2008年对Amazon.com 和eBay发起DdoS攻击在塞浦路斯被捕。

根据指控，Zubakha伙同另外一名俄罗斯黑客，在2008年6月筹划并执行了针对Amazon.com、eBay和 Priceline的DDoS攻击。Zubakha及其同伙通过操作僵尸网络计算机来发出攻击。来自美国司法部的消息称，这次攻击使得Amazon用户难以完成其在线交易。

由于非法使用过至少一个人的信用卡，Zubakha及其同伙还被控告恶意窃取他人信息。Zubakha将面临法律严惩，同谋罪为5年监禁，故意破坏受保护计算机为10年监禁和25万美元罚金，非法控制接入设备为10年监禁和25万美元罚金，恶意窃取身份信息为2年监禁。

三、苹果设备勒索 俄两少年黑客被捕

2014年6月，澳大利亚的iPhone用户遭到黑客勒索，要求支付赎金，否则便会远程锁定设备。随后，幕后黑客被俄罗斯政府逮捕，两名黑客均是少年分别为17与23岁。

两名少年黑客被俄罗斯内务部在执行“操作性活动”过程中拘留，他们是莫斯科南行政区的居民，其中一名黑客此前也从事过类似的行动。

俄罗斯网站MKRU报道，这两名黑客通过钓鱼网站获取用户的Apple ID和密码，然后利用这些信息锁定设备，俄罗斯用户也受影响，由此俄罗斯当局进行了调查。摄像头拍到这两名黑客从ATM机中提取受害者的赎金，随后被抓。

四、操控“城堡”黑客牛人被引渡

“Kolypto”的真名叫Mark Vartanyan，俄罗斯公民。由于开发、改进和维护恶意软件工具包“城堡（Citadel）”，“Kolypto”在2016年12月从挪威引渡到美国。

“城堡”是一个恶意软件工具包，旨在感染计算机系统，窃取金融帐户凭据和受害者计算机网络的个人身份信息。从2011年开始，“城堡”被出售给那些在互联网论坛说俄罗斯语言的网络犯罪分子。“城堡”被用来攻击世界各地主要金融和政府机构的计算机网络，包括美国的几家金融机构。根据行业估计，“城堡”在全球感染了约1100万台计算机，造成5亿美元以上的损失。

据悉，“Kolypto”于2012年8月21日至2013年1月9日期间居住在乌克兰，在2014年4月9日至2014年6月2日之间居住在挪威，“Kolypto”主要进行“城堡”的开发、改进、维护和分发。在这期间，“Kolypto”上传了许多电子文件，包括“城堡”恶意软件的组件、更新和补丁以及客户信息，所有这些都旨在提升“城堡”的功能。

“Kolypto”是参与“城堡”恶意软件被调查的第二名被告。2015年9月29日，“城堡”案第一名被告，住在俄罗斯圣彼得堡的22岁的Dimitry Belorossov（网名为“Rainerfox”），被判四年六个月的监禁。因为他被指控“密谋实施计算机诈骗”，即通过分发、安装“城堡”恶意软件到受害者电脑并进行感染。

Belorossov下载“城堡”恶意软件并用来操控主要来自俄罗斯的“城堡”僵尸网络。Belorossov远程控制了7,000多个受害人的电脑，包括至少一个受感染的计算机系统，其IP地址被解析到格鲁吉亚北部地区。Belorossov的“城堡”僵尸网络感染计算机并获取受害者的个人信息，包括美国金融机构联邦保险存款的网上银行凭证、信用卡信息和其他个人身份信息。

除了操控“城堡”僵尸网络，Belorossov还提供在线帮助，目的是提供对“城堡”的改进建议，包括在互联网上发布关于犯罪相关的评论，并通过电子邮件和即时消息与其他网络犯罪分子进行电子通信。Belorossov于2014年7月18日被判有罪。