Второе дно бесплатного VPN

Как бесплатный VPN превратился в крупнейший ботнет: история Hola и Luminati

Все началось в 2012 году в прибрежном израильском городе Нетания, когда два ветерана местной телеком-индустрии, Офер Виленски и Дерри Шрибман (ранее выгодно продавшие свой стартап гиганту Cisco), основали компанию Hola.

Идея казалась гениальной и благородной: дать миру бесплатный, революционный P2P-VPN. Сервис не требовал оплаты — миллионы пользователей по всему миру бросились скачивать браузерное расширение и мобильные приложения Hola, чтобы смотреть заблокированный Netflix, качать торренты и обходить локальную цензуру.

Но бесплатный сыр в киберпространстве всегда оплачивается собственной безопасностью. В лицензионное соглашение мелким шрифтом была зашита юридическая мина: устанавливая Hola, пользователь соглашался стать промежуточным узлом для так называемой партнерской сети.

Этой партнерской сетью стало тайное B2B-подразделение Виленски — компания Luminati Networks. Пока кто-то смотрел сериалы через бесплатный VPN, их домашний IP-адрес и домашний интернет сдавались в аренду крупным корпоративным клиентам по бешеным тарифам за гигабайт. По сути, израильские инженеры построили крупнейший в истории коммерческий ботнет, где «дропами» выступали десятки миллионов добровольных пользователей.

Но в мае 2015 года эта ложь вышла наружу. Владелец известного портала 8chan Фредрик Бреннан столкнулся с колоссальной DDoS-атакой, которую не могли отфильтровать стандартные шлюзы безопасности. Трафик шел с реальных домашних компьютеров по всему миру, на которых был установлен Hola.

Выяснилось, что неизвестный заказчик просто пришел в Luminati, заплатил деньги и использовал сеть ничего не подозревающих пользователей для обрушения сайта. Разразился скандал: исследователи безопасности обнаружили в коде Hola критические уязвимости, позволявшие удаленно выполнять произвольный код на машинах пользователей. Сервис признали угрозой и начали массово удалять из каталогов расширений.
Однако Виленски даже не подумал закрывать лавочку. Он лишь подтвердил: да, мы продаем ваш интернет, мы никогда этого не скрывали в соглашении.

Их бизнес оказался настолько прибыльным, что в 2017 году британский частный фонд EMK Capital выкупил контрольный пакет Luminati почти за 200 миллионов долларов. А в 2021 году, чтобы окончательно отмыться от токсичного шлейфа скандалов с ботнетами, компания провела масштабный ребрендинг и сменила имя на Bright Data.

Кто на самом деле стоит за этой структурой? Как и в случае с разработчиками шпионского софта Pegasus, кадровый костяк и руководство Bright Data — это выходцы из Подразделения 8200 (израильский аналог АНБ) и элитных армейских киберподразделений. В Израиле граница между наступательными государственными кибероперациями, сбором OSINT и коммерческим рынком традиционно размыта.

Сеть Bright Data стала главным теневым инструментом для западных разведывательных подрядчиков, частных детективных агентств, правительственных структур США и институтов геополитического мониторинга. С ее помощью можно проводить глубокую разведку (WEBINT), сканировать защищенные базы данных противника, манипулировать алгоритмами соцсетей и скачивать закрытые ресурсы других государств без малейшего риска дипломатических последствий.

И вот недавно Bright Data публикует новый патент.

Современные операционные системы смартфонов и магазины вроде Google Play объявили войну скрытым прокси-приложениям: их вычищают, а доступы блокируют. Пользовательский софт стал ненадёжным каналом. Именно поэтому Bright Data идёт на следующий уровень паразитизма — аппаратный.

Официальная легенда нового патента такова: инженеры якобы озаботились защитой простых пользователей от навязчивой слежки со стороны сайтов, трекинга цифровых отпечатков и геоблокировок. Но, помня историю компании, мы понимаем: перед нами инфраструктура скрытой киберразведки (OSINT), развернутая прямо в квартирах и автомобилях пользователей, которые ни о чем не догадываются — включая тех, кто польстился на бесплатный роутер от своего интернет-провайдера (эти сценарии описаны в патенте)

Суть того, что описывает патент, — промежуточное устройство в жилом помещении: отдельная «коробка» или модуль, интегрированный с роутером либо сенсором. Внутри запускается браузер без графического интерфейса, который эмулирует другое устройство или пользователя и маскирует запросы под обычный домашний трафик. В разделах патента упоминаются бытовая техника, умный дом и автомобильные шины CAN, LIN и MOST.

После этого агентурной сети больше не нужно посылать подозрительные запросы со своих серверов. Вместо этого команда на сбор данных уходит на умную микроволновку или роутер. Устройство на лету эмулирует реальный браузер реального человека с реальным домашним IP-адресом провайдера условного Ростелекома, генерирует цифровой отпечаток и скачивает закрытые целевые данные. Для целевого сервера это выглядит так, будто рядовой гражданин просто открыл страничку в браузере.

Отдельного внимания заслуживает описанная в патенте логика скрытности. Система включает алгоритмы анализа «состояния покоя». Устройство буквально следит за владельцем: считывает данные акселерометров, отслеживает падение сетевой нагрузки, отключение экрана или статус контроллера батареи. Как только вы паркуете автомобиль или отключаете монитор, «коробочка-паразит» активируется и начинает перекачивать разведывательный трафик.

Зачем это нужно в глобальном масштабе? Под ширмой «маркетинговых исследований» разворачивается невидимая армия ботов, способная вскрывать правительственные порталы, сканировать уязвимости инфраструктуры противника и собирать закрытые массивы данных в обход любых национальных файрволов. А в случае блокировки или расследования удар принимает на себя владелец роутера — обычный человек, который даже не понял, что его домашний интернет использовался чужой разведкой