Установлен IP-адрес «полтавских мстителей»

Предыстория

• 29 мая в Полтаве были разбиты три мемориальные доски погибшим в АТО полтавчанам.
• В ночь на 11 сентября разбиты еще пять досок.
• 15 сентября в социальной сети «ВКонтакте» появилось видеообращение неизвестного человека в маске, который назвал себя членом группы «полтавских мстителей» и взял на себя ответственность за последний инцидент.
• 21 сентября на электронную почту «Полтавщины» пришло письмо со ссылкой на видеообращение, в котором человек в маске сообщает о поимке одного из «полтавских мстителей». 
• 21 сентября полиция наконец-то опубликовала видео с камер наблюдения, на котором видно, как неизвестный человек в 00:36 разбивает мемориальную доску на 11-й школе, а в 02:49 идет возле кафе «Аэлита», напротив первого лицея.

Поиск «мстителей»

Перед тем, как опубликовать свое видеообращение, «полтавские мстители» сделали еще несколько публикаций на своей странице ВКонтакте, на которые мы обратили внимание. Именно эти публикации помогли нам точно определить IP-адрес «мстителя».

Улика № 1 — текст о Полтаве

14 сентября в 22:50 «мстители» опубликовали запись «Родная Полтава: какая она?...», дополненную фотографией Петра I и несколькими старыми картами Полтавы. Текст записи представляет из себя историческую справку о Полтаве, которая в конце дополнена коротким абзацем о том, как полтавчане начали беднеть после Майдана и начала АТО.

Очевидно, что автор текста историческую справку подготовил не сам, а откуда-то ее скопировал. Казалось бы, таких материалов в интернете бесконечное множество, и сайты друг у друга их бессовестно копируют. Но на самом деле это не совсем так. Часто при копировании с сайта на сайт тексты немного переписываются — в них добавляют ключевые слова для поисковой оптимизации, какие-то слова заменяются на синонимы и т. д. Один из таких переписанных текстов «мститель» и скопировал на свою страницу.

Публикация на странице «полтавских мстителей»

Найти источник скопированного текста с помощью Google не составило труда.

Посетитель любого сайта, как правило, оставляет на нем разного рода «следы», хотя часто даже не догадывается об этом. Как правило, на всех сайтах автоматически ведется лог (журнал) всех запросов к сайту. Любая открытая вами страница или просмотренная картинка попадает в этот лог. Вместе с этим сохраняется базовая информация о вашей системе и IP-адресе, через который вы выходите в интернет.

Мы связались с администратором этого сайта, объяснили ситуацию и попросили дать список пользователей, которые за последние 5 дней посещали страницу, откуда был скопирован текст. Получили список примерно из 100 IP-адресов.

Улика № 2 — карта Полтавы

Как уже упоминалось выше, вместе с текстом о Полтаве «мстители» опубликовали несколько картинок, найденных в Google или Яндексе. Мы попробовали осуществить реверсный поиск и найти сайты, откуда эти картинки были загружены, учитывая их размер. С этим также проблем не возникло — для трех изображений получилось точно установить источник, но два из них были российскими сайтами, зато один — полтавским. Хотя его владелец сейчас и проживает за границей, он также не отказался помочь, и прислал логи, откуда мы смогли получить список всех запросов к этой картинке.

Улика № 3 — фото разбитой доски

Непосредственно с загруженным видеообращением «мститель» опубликовал и фотографию разбитой мемориальной доски на 1-м лицее. Эта фотография была взята из соответствующей новости на «Полтавщине». Ее размер соответствовал оригиналу, и с помощью хеш-сумм было установлено, что до загрузки ВКонтакте она не пересохранялась.

Поиск совпадений

Зная источники материалов на странице «полтавских мстителей», мы предположили, что их автор должен был незадолго до публикации посещать все три указанных сайта. Для обработки логов был написан специальный скрипт, который автоматически искал в них совпадения. Как и ожидалось, совпадение оказалось только одно — IP-адрес 87.226.196.103. Из логов также получилось узнать, что «мститель» использует операционную систему Ubuntu и устаревшую версию браузера Firefox.

Логи трех сайтов, с которых «мстители» копировали информацию

Итак, короткая хронология (время — киевское):

• 14 сентября в 14:31 «мститель» скачал картинку с картой Полтавы.
• 14 сентября в 14:36 «мститель» скопировал текст о Полтаве.
• 14 сентября в 22:50 на странице «мстителей» был опубликован пост о «родной Полтаве».
• 15 сентября в 19:47 «мститель» скачал с «Полтавщины» фотографию разбитой мемориальной доски.
• 15 сентбяря в 19:56 на странице «мстителей» опубликовано видеообращение и фотография разбитой мемориальной доски.

Российский след «полтавских мстителей»

Проверив найденный IP-адрес, удалось выяснить, что он принадлежит Ростелекому и является частью подсети из 16 адресов, которой присвоено название «Agrofart». Вряд ли это название выбрано случайно, т. к. выборочная проверка показала, что у Ростелекома довольно много подобных «говорящих» названий подсетей.

Информация о IP-адресе 87.226.196.103

Российская компания «Агрофарт» зарегистрирована в Волгограде и является крупным дистрибьютером продуктов питания, табачной и алкогольной продукции в своем регионе. Из резюме бывшего системного админстратора компании удалось узнать, что их парк компьютеров составляет более 200 единиц техники, а их офисы и склады территориально разнесены. Следовательно, в компании наверняка, используются различные прокси и VPN (виртуальные частные сети), через которые пользователи могут работать удаленно, но доступ к которым ограничен. Среди всего прочего, в обязанности системного администратора, судя по резюме, входило внедрение Linux-систем, а сам он хорошо знаком с операционной системой Ubuntu. Напоминим, что именно Ubuntu использовал «мститель» в своей работе.

Как видим, кому-то в компании «Агрофарт» очень скучно в рабочее время, или же он так сильно переживает за судьбу Украины, что готов оставаться на работе до восьми вечера, чтобы опубликовать видеообращение к жителям Полтавы. Наверное, при большом желании, можно было бы продолжить это расследование и даже установить личность «мстителя», но для нас в этом расследовании важно было подтвердить то, что «полтавские мстители» не имеют прямого отношения к Полтаве.

Кто-то может предположить, что в Полтаве действует «диверсионная группа», руководимая из России, но на наш взгляд, все гораздо проще. Кто-то случайно наткнулся на новость о разбитых в Полтаве досках и решил немного подыграть. Если бы эта «операция» действительно была спланирована, то видеообращение «мстителей» появилось бы еще в мае, после первого случая массового разбития досок, но про этот случай «мститель» в своем видео даже не вспомнил, хотя мог бы набить себе цену. Был бы «мститель» полтавчанином, он бы про этот случай точно знал.

Количество «мстителей»

Больше всего в истории с разбитыми мемориальными досками огорчает медлительность полтавской полиции. Видео с камер наблюдения полиция опубликовала лишь через 10 дней после случившегося. Хуже того, когда журналистка «Полтавщины» обратилась в пресс-службу с просьбой уточнить места съемки, ей ответили, что «видео было снято на одной из школ города». Очень информативно, как-будто это не полиции нужно искать преступника, а «Полтавщине». Впрочем, журналисты «Полтавщины» по фотографиям и панорамам смогли самостоятельно определить места съемки — 11-я школа и кафе «Аэлита» возле 1-го лицея.

Кадры с камеры наблюдения на кафе «Аэлита»

Определить человека по этим видео очень сложно — под снятый силуэт подойдет едва ли не каждый пятый житель Полтавы мужского пола. Однако эти видео интересны тем, что на них присутствует метка времени:

• 00:36 — 11-я школа
• 02:49 — 1-й лицей

Очень странно, не находите? Если бы в Полтаве действовала организованная группа, наверняка, она бы «нанесла удар» по мемориальным доскам в одно и то же время, не растягивая рискованое удовольствие на полночи, ведь всегда есть вероятность наткнуться на случайного прохожего или страдающего бессоницей жителя соседнего дома. Если бы кто-то из них обнаружил разбитую доску и сообщил в полицию, то не исключено, что через час на следующем объекте вандала мог бы ждать наряд полиции. Массовое разбитие досок случается в Полтаве не первый раз — этого стоит ожидать.

Места, где были разбиты мемориальные доски

Тем не менее, доски разбивались с разницей в два часа. Если измерить расстояние между 11-й школой, педуниверситетом и 1-м лицеем, то по кратчайшему маршруту получится около 6,5 километров. Скорость пешехода составляет около 5 км/ч. Очевидно, что человек, разбивший мемориальную доску, будет стараться двигаться по наиболее безлюдным и «слепым зонам» города с минимальным количествов камер наблюдения, а значит его маршрут не будет кратчайшим.

Таким образом, вполне можно предположить, что все 5 мемориальных досок в Полтаве мог разбить всего один человек. Начал он с 11-й школы, а затем двигался по маршруту: 38-я школа, 6-я школа, педуниверситет и в конце — 1-й лицей. С учетом необходимости обходить хорошо просматриваемые зоны одному человеку для этого как раз необходимо 2 часа времени.

Ловцы «мстителей»

20 сентября на почту «Полтавщины» пришло письмо с ссылкой на видео, на котором человек в маске рассказывает о поимке одного из «полтавских мстителей», который еще, по совместительству, якобы, является членом организации «Харьковские партизаны». К этому видео есть масса вопросов, которые не позволяют воспринимать его всерьез:

• Лицо пойманого «мстителя» тщательно скрывается. Зачем?
• Почему изъятые документы идут отдельным видеорядом и не показываются вместе с задержанным человеком?
• Почему пойманный «мститель» не передан правоохранительным органам, а вместо этого, якобы, будет «отдан в рабство»?

Журналисты «Полтавщины» в этом видео также обратили внимание на несколько моментов:

• Сопоставив отдельные кадры видео, удалось определить что шеврон относится к полку «Азов».
• Адрес почты [email protected] содержит число 1488 — кодовый лозунг, популярный у нацистов.
• На YouTube видео опубликовано от имени Богдана Котляревского. Псевдонимы с фамилией Котляревский несколько лет назад часто использовались членами полтавской организации «Автономных националистов». Полтавчанам их деятельность известна по свастикам на заборах и надписям «radikals.in» (адрес сайта организации).

Роман Т. — один из бывших лидеров полтавских радикалов, член гражданского корпуса «Азов»

Сузив таким образом круг поиска, мы показали запись людям, знакомым с полтавским движением радикальных националистов. Лицо человека на видео, хотя и скрыто маской, но брови, глаза, голос и манера держаться оказались довольно узнаваемыми, и его смогли опознать. Им оказался человек по имени Роман Т. — один из бывших лидеров полтавских радикалов, сейчас — член гражданского корпуса «Азов» в Полтаве. «Полтавщина» даже несколько раз упоминала его имя в своих публикациях.

Скорее всего, Роман и компания с помощью этого видео решили немного успокоить полтавчан, обеспокоенных ситуацией с разбитыми мемориальными досками. Пока что остается открытым один вопрос: откуда у них видео паспортов украинских военных, фигурировавших в деле «харьковских партизан» два года назад. Само видео очень напоминает фиксацию вещдоков, проводимую правоохранительными органами при изъятии.

***

Таким образом, вполне вероятной выглядит версия, что уничтожением мемориальных досок в Полтаве занимается один-единственный человек, «полтавских мстителей» придумали в Волгограде, а немногочисленные полтавские нацисты снимают бестолковую контрпропаганду.

Впрочем, это не отменяет возможности того, что повреждения мемориальных досок в Полтаве могут продолжиться. Уверен, что если бы полтавские свободовцы действительно захотели, они бы смогли вычислить и найти вандала даже без помощи полиции. Для этого нужно смоделировать возможные маршруты вандала, получить видеозаписи с камер наблюдения, расположенных вдоль этих маршрутов, и проанализировать их. Конечно, один человек с этим не справится — нужна организованная работа. Как показывает опыт моего расследования, люди готовы помогать, поэтому получить записи видеокамер вполне реально, а вот этого количества людей вполне хватило бы для их анализа.

Эдуард ТКАЧЕНКО для «Полтавщины»