Тег #Противостояние - Ник Тарасов

Позвонил Паше.

— Босс? — Голос был сонный, но не спал он. Слышно по фону, там что-то бубнил телевизор. Фильм вроде какой-то.

— Паша, извини, что так поздно. Есть возможность сейчас говорить?

— В принципе, да.

— Нужна твоя помощь. Есть работа. Не твоя.

— В смысле не моя?

— То есть, не мессенджер, отдельная задача. И оплата отдельная, сверху оклада. Готов выслушать?

Пауза. Телевизор бубнил. Кажется, я понял, что за фильм у него там был по характерным урывкам фраз и именам — «Шрек»!

— Ладно. Внимательно слушаю.

— Спасибо. У меня под роликами на канале профильном спам. Организованный. Я хочу знать точно — это кто-то нагоняет или мне мерещится.

— Тебе, видимо, не мерещится, если ты звонишь так поздно.

— Да… Вот поэтому и звоню. Разберёшься?

— С Костей возьмусь, — он зевнул. — Про оплату отдельную — это правильно. Хороший начальник. Всякая работа должна быть оплачена.

— Согласен полностью. Поэтому и сказал, поэтому и спросил твоё желание. В моей компании рабства нет, ты же знаешь. Поэтому и очередь на должности инженера и продажника расписана в резерве на год вперёд.

Он хмыкнул.

— Всё-всё, уговорил, хаха.

* * *

Ждал я неделю, немного дольше даже.

Правильно ждал. Не дёргал. Такие вещи наскоком не делаются — надо собрать выборку, посмотреть динамику, сопоставить время публикаций, ники, тексты и всё, что ещё можно вытащить из открытых данных. Если бы Паша принёс мне ответ на другой день, я бы ему не поверил.

Он принёс на девятый.

Пришёл ко мне в кабинет днём, с ноутбуком под мышкой.

— Присаживайся, — сказал я. — Кофе? Чай?

— Не, спасибо, — Паша сел за приставленный к моему столу другой стол. — Давай сразу к делу. Мы с Костей сводную справку сделали. Я покажу.

Поставил ноутбук на край стола, развернул экран ко мне. На экране была таблица, ниже — несколько графиков и короткие пояснения.

— Значит, так. За последние две недели комментариев набралось сто сорок с лишним. Подозрительных — больше половины.

— И что именно подозрительного?

— Не сами тексты. Сначала мы посмотрели на аккаунты. Ники разные, регистрации разные. На YouTube мы их IP, конечно, не видим.

— Безусловно.

— Поэтому пошли от обратного. Часть этих же ников нашлась у нас в Dornet. Некоторые старые, ещё чуть ли не со времен запуска. А там IP уже есть.

Он переключил окно.

— И получилось интересно.

На экране появилась другая таблица. Ники, даты, адреса, время входов.

— Три группы. В первой несколько аккаунтов ходят с одной подсети. Во второй картина похожая. Третья грязнее — там адреса прыгают, похоже на прокси или просто разные точки выхода.

— «Похоже»?

— Точно сказать нельзя. Мы видим только то, что есть у нас. Но если смотреть вместе с остальным, совпадение уже слишком хорошее.

Он открыл следующий файл.

— Смотри на время.

Там шли столбики по часам. Несколько дней подряд, один за другим.

— Комментарии появляются примерно через одинаковые промежутки, часто. Днём — довольно ровно, потом отдельная волна ночью. Не всегда с одинаковым интервалом, но характер повторяется.

— Продолжай.

— Обычный человек так редко действует. У него рваный график: написал несколько подряд, ушёл, погулял, забухал, вернулся вечером, в ванной завис с песнями, используя ручку душа в качестве микрофона, поел, потом ещё что-нибудь черканул. Здесь другая картина. Как будто кто-то запускает одну и ту же работу по расписанию. Как будто это работа!

— Значит, поведенческий паттерн крайне подозрительный… Нереальный.

Он переключил ещё одну таблицу.

— Теперь тексты.

— Что с ними?

— Сто сорок с лишним комментариев, а заготовок по сути несколько. Мы прогнали их через собственный скрипт: убрали имена, обращения, знаки препинания, посмотрели совпадающие фразы и порядок слов. Получилось, что большая часть сообщений собирается из одних и тех же кусков.

Он открыл несколько примеров рядом.

Я прочитал первый, потом второй. Смысл немного менялся, слова переставлялись, где-то добавлялось одно предложение, где-то убиралось. Но основа действительно была одинаковой. То, на что я сам обратил внимание в самом начале, а тут подтверждение.

— Сколько исходных вариантов?

— Меньше десяти. Девять. Причём несколько фраз повторяются почти дословно. Их тасуют, меняют местами, добавляют пару слов — и получается новый комментарий.

— То есть разные люди пишут одно и то же?

— Или один человек готовит заготовки, а потом раскидывает их по разным аккаунтам. Я бы пока не говорил, что оператор один. Но источник текстов, похоже, общий.

Я молчал и смотрел на график. Чем дольше смотрел, тем меньше он напоминал случайный набор комментариев и тем больше — аккуратно организованную работу.

— А связь с Dornet?

Паша вернулся к первой таблице.

— Тут тоже занятно. Несколько аккаунтов с YouTube совпадают с никами, которые у нас уже засвечены. Не один-два совпадения, а серия. А когда мы посмотрели их историю в Дорнете, у нескольких аккаунтов обнаружился один и тот же IP-адрес. Не так, чтобы можно было сказать: «Вот этот человек точно написал комментарий». Но достаточно, чтобы предположить общий компьютер, одну сеть или хотя бы общий круг.

— И что ты думаешь?

Паша пожал плечами.

— Что это не обычный спам… Кто-то делает это системно. И, судя по времени и количеству, ему зачем-то очень важно, чтобы твои ролики выглядели засранными.

— И ещё, — Паша призадумался на пару секунд. — Мы сверили всё с журналом инцидентов. С первой атаки, когда нас клали DDoS-ом и мочили по всем форумам. Я про Dornet.

— Ага. И?

— Часть адресов из первого кластера совпадает с теми, что засветились при атаке. Три из восьми.

Я взял со стола карандаш и начал крутить его в пальцах. Неосознанно. А потом осознал. Может, в тот момент я просто ощутил себя разгневанным Джоном Уиком… Пёселя по кличке «Дорнет» которого обижают.

— Точно те же адреса?

— Три из восьми, босс! — Паша развёл руками. — Три — это уже интересно. Это могут быть те же люди, а могут быть те же прокси, взломанные машины или арендованные мощности. По одним IP заказчика не установить, мы это честно написали. Вот, — он ткнул пальцем в последний абзац на экране. — «Признаки организованной кампании подтверждаются. Установить заказчика техническими средствами не представляется возможным». Всё. Дальше не наша епархия.

Я перечитал этот абзац дважды. Где-то неподалёку сосед-арендатор включил болгарку, звук шёл прямо сквозь кирпич, и от него заныл зуб слева внизу. Чувствительный зуб.

— А если так и не найдём? — спросил я. — По технике. Вот совсем никак?

— По одной этой цепочке — почти никак, — Паша поправил крышку экрана, будто там был неправильный угол. — Кто это делает, тот адресов напрямую не оставляет.