Omnipotent — из тролля в хакеры

В 2015 малолетние тролли обрели новый дом — RaidForums. «Raid» происходит от т.н.

рейдов на стримеров платформы Twitch, где их чат спамят каким-нибудь трешем или обманом заставляют делать что-то унизительное на камеру. Каналы с записями рейдов YouTube часто сносил, и некий Omnipotent создал свой ресурс для общения по теме. Основателю форума на тот момент было 14 лет, а пользователям — и того меньше.

Т.к. деанон — он и в Африке деанон, тролли смекнули, что их социнженерию можно использовать против более сложных, чем стримеры, целей и начали совмещать СИ с любимым софтом скрипткидди — троянами удаленного доступа (RAT).

Форум менялся и начал напоминать HackForums, с той лишь разницей, что та чернуха, что на том была запрещена, здесь — здесь разрешена. Даже ник админа HF (Omniscient) был частично скопирован нашим Omnipotent. Вскоре к уже хакерскому форуму начали присоединяться более скилловые пользователи, и через 2 года форум школьников окончательно переобулся в крупнейший хаб англоязычного киберкриминала.

Сообщество RaidForums после переноса мишеней со стримеров на корпоративный мир и смены троллинга на вымогание денег кратно выросло и, как это часто бывает, с этого началось его падение. Форум стал первым местом, куда украденные данные для публикации или продажи приносили хакеры, а значит, и первым местом, куда за деталями инцидентов приходили безопасники и федералы.

Выяснилось, что гарант-сервис на форуме использовал адрес биткоин-кошелька, принадлежавшего амриканской централизованной криптобирже Coinbase. Зарегистрирован кошелек был на имя некого Диёго Коэло из Португалии 1999 года рождения.

В 2018 Коэло в аэропорту США встретили американские силовики с ордером на обыск сразу после приземления самолета. На изъятом ноутбуке без шифрования нашли аккаунты Omnipotent в Discord и ProtonMail с кучей писем с RaidForums. В Португалию он вернулся уже без ноута, и спустя месяц просил вернуть его в переписке с ФБР с той же почты ProtonMail, привязанной к аккаунту Omnipotent на форуме.

Словно мало было улик, ФБР находит публичные сообщения в Discord-сервере форума, где Omnipotent пишет о своем секретном втором аккаунте на форуме под ником Downloading. Пользователь под этим ником продавал базу с 2+ млн банковских карт за $25 000, и как вишенку на торте дела против него, ФБР покупает эту базу… но ничего не получает, Диёго просто кидает агента под прикрытием, считая что новичок на форуме ему ничего не сделает.

ФБР и так получило образцы 3 карт в качестве доказательства их валидности. Держателей карт бюро запрягло в дело как потерпевших. В надежде на получение таки всей базы агенты пишут кидале письмо на его ProtonMail с полным деаноном и угрозой его публикации в случае невыполнения условий сделки по продаже карт. На это Диёго не повёлся, но это уже было не важно.

Спустя годы торговли с криминалом и ФБР, в январе 2022 Omnipotent пропадает с форума. Его нет месяц, а пользователей выкинуло с аккаунтов, и войти обратно не удавалось. Это ФБР перехватило управление доменом, сменило сервера на свои, где подняло фишинговую страницу входа и записывало все логины, пароли и IP-адреса гостей. В том же январе это перестало быть секретом — Диёго взяли Англии, при навещении умирающей матери.

В итоге один из крупнейших на момент хакерских форумов с 500к+ пользователей закрыли, а беззаботная жизнь админа сменилась на годы судебных тяжб в борьбе против экстрадиции в США, где ему уготовили 52 года за решеткой. При этом деньги на залог и суды ему собирала семья, а в деле против него доказано получение им лишь ~$200к за все 7 лет работы форума.