Тема проведения пентестов сейчас очень модная, активно внедряется в нормативные требования по защите информации, специалисты по пентесту востребованы рынком и высокооплачиваемые. Все это привлекает как молодых и начинающих специалистов ИБ, так и уже опытных из других специализаций ИБ.

При этом, пентесты одно из самых слабо урегулированных специализаций ИБ с точки зрения уголовного преследования. Уж очень тонкая грань между «этичным хакингом» и криминальным хакингом, особенно с учетом использования однотипных инструментов взлома/пентеста.

«Программное обеспечение использовалось исключительно в познавательных целях, доступ к сетевому оборудованию потерпевших не осуществлял, ее использованием не желал и не причинил никому вреда. Он скачал на свой компьютер программу « <данные изъяты>» и хотел использовать ее для проверки компьютерной сети организации, в которой работает. Он запускал программу « <данные изъяты>» и она в автоматическом режиме попыталась сканировать сетевое оборудование. Программу он использовал в ознакомительных целях, то есть у него не было никакого намеренного умысла причинить вред и никакого вреда потерпевшим он не причинил.

Программа « <данные изъяты>» не является вредоносной, у программы « <данные изъяты>» есть собственный сайт в сети интернет, на ней указаны разработчики данного программного обеспечения. Сайт не заблокирован Роскомнадзором.

Кроме того, та программа, которой он пользовался, не позиционирует себя как вредоносная, сообщений о незаконном использовании при запуске не выдает, что подтверждается проведенной экспертизой, сайт программы находится в свободном (общем) доступе в сети «Интернет», активная аудитория пользователей данной программы составляет не менее 3300 человек, которые не скрывают факт, использование данной программы и открыто общаются друг с другом в сети «Интернет». Полагает, что вывод о вредоносности программного обеспечения сделан экспертом ФИО10 на основе личного опыта, игнорируя четкие понятия и терминологию, указанные в закрепленных ГОСТах..Обращает внимание на то, что на сайте «Роскомнадзора», информации о вредоносности или запрета к использованию данной программы не содержится, антивирусные программы, данное программное обеспечение, как вредоносное не определяют, официальный сайт программы в сети «Интернет» не заблокирован.

Согласно выводам эксперта, «Router Skan» — это программа для поиска в сети интернет веб-интерфейсов сетевого оборудования, с целью дальнейшего получения несанкционированного доступа к нему. Несанкционированный доступ достигается путем нейтрализации средств защиты веб-интерфейса сетевого оборудования с помощью подбора пары логин/пароль либо эксплуатации программных уязвимостей указанного оборудования. Программа «Router Skan» предоставляет возможность пользователю нейтрализовать средства защиты компьютерной информации, то есть является вредоносной компьютерной программой. Иного предназначения данное программное обеспечение не имеет

— показаниями эксперта ЭКЦ ГУ МВД России по Воронежской области ФИО3 о том, что для экспертизы был предоставлен системный блок, было несколько вопросов, его были вопросы 1, 2, 4, 7. Первый вопрос — имеется ли электронное программное обеспечение с определенным наименованием? Второй вопрос — детектируется ли антивирусными программными обеспечениями с определенным наименованием? Четвертый вопрос — имеются следы использования данного программного обеспечения? Седьмой вопрос — имеется ли следы выхода в сеть интернет, или использовались какие-либо учетные данные пользователя компьютера? Он на эти вопросы ответил. На первый вопрос — программное обеспечение было обнаружено. На второй вопрос — программа «Router Scan» антивирусным программным обеспечением не детектировалось, как вредоносная.»

(Постановление от 02.03.2021 №1—40/2021)

«УСТАНОВИЛ:

В.Ю. для установления уязвимостей удаленного ресурса информационно-телекоммуникационной сети «Интернет» (далее Интернет-ресурс) решил использовать со своей персональной электронной вычислительной машины (далее ПЭВМ) вредоносную компьютерную программу «SQLi Dumper», предназначенную заведомо для него для получения неправомерного доступа к компьютерной информации методом SQL-инъекций, несанкционированного уничтожения, блокирования, модификации и копирования компьютерной информации на сервере, в случае подставки вредоносными SQL-запросами некорректных значений в параметры, применяемые веб-сервером.

Признать В. Ю. виновным в совершении преступления, предусмотренного ч. 1 ст. 273 УК РФ и назначить ему наказание в виде ограничения свободы сроком 1 (один) год.»

(Приговор от 02.07.2020 №1—183/2020)

«А. вину полностью не признал и пояснил, что он проживает в <адрес>, работает <данные изъяты> он скачал на свой компьютер программу « <данные изъяты>» и хотел использовать ее для проверки компьютерной сети организации, в которой работает. Он запускал программу « <данные изъяты>» и она в автоматическом режиме попыталась сканировать сетевое оборудование. Программу он использовал в ознакомительных целях, то есть у него не было никакого намеренного умысла причинить вред. Никакого вреда потерпевшим он не причинил. Программа « <данные изъяты>» не является вредоносной, у программы « <данные изъяты>» есть собственный сайт в сети интернет, на ней указаны разработчики данного программного обеспечения. Сайт не заблокирован Роскомнадзором.

Действия А. суд квалифицирует по ч. 1 ст. 273 УК РФ, так как он совершил использование программы, заведомо предназначенной для нейтрализации средств защиты компьютерной информации.

А. обладает знаниями в области информационных технологий и использования компьютерной техники, поскольку имеет высшее образование по специальности информационные системы и технологии и стаж работы по специальности.

Доводы защиты о том, что действиями А. потерпевшим не причинено никакого вреда, суд находит не состоятельными, поскольку состав, предусмотренный ч. 1 ст. 273 УК РФ является формальным и не требует наступления каких-либо последствий, уголовная ответственность возникает уже в результате использования компьютерных программ, заведомо предназначенных для нейтрализации средств защиты компьютерной информации, независимо от того, наступили ли в результате этого какие-либо общественно опасные последствия.»

(Приговор от 25.11.2020 г. по делу №1—40/2020)

«подсудимый является студентом КГУ ИФМЭН «Информационная безопасность», изучает теорию информации и кодирования, обладает навыками и знаниями в области программирования.

В 2022 году он заинтересовался технологиями поиска по открытым источникам. Поиск по открытым источникам — это размещенная на открытых сайтах, площадках информация, которая ранее была похищена неустановленными лицами у организаций, физических лиц, после чего размещена на вышеуказанных площадках. В процессе изучения его заинтересовала сфера «Penetration Testing» — тестирование систем на уязвимость. Он изучал различные площадки, связанные с этой сферой, например «Наск The Вох» и его заинтересовало, каким образом можно получать доступ к данным на каком-либо носителе — персональном компьютере, облаке, сервере. Зимой 2023 года он зашел на ресурс «…» https://... com. На одной из форумных веток площадки он нашел пост, размещенный пользователем «Эссентри Тим». В данном посте содержался код вредоносной программы, которая по факту является стиллером, с названием»..». Стиллер — это файл формата «ехе», который попадая на компьютер какого-либо пользователя, собирает всю возможную информацию, в том числе, пароли, логины, файлы, техническую информацию об устройстве, после чего отправляет ее на сервер человека, который полностью настроил работу кода в соответствии с заданными стандартами конкретного стиллера. «Скомпилировать код» значит собрать воедино весь массив кода, чтобы все его файлы могли между собой правильно взаимодействовать. Под кодом он подразумевает несколько файлов, имеющих различные расширения и форматы. Так, там имелась панель, предназначенная для получения данных, билдер, который собирает вирус воедино с целью взаимодействия всех заданных команд. Вирус, собранный билдером отправляет на вышеописанную панель полученные в результате заражения программой сведения и информацию. Он протестировал данный стиллер на принадлежащем ему компьютере. В ходе неоднократного тестирования он установил, что половина команд кода, которые он тестировал, не работает так, как должны. На тот момент он уже придумал название для стиллера — «Phoenix».

На момент тестирования им данной вредоносной программы, тот мог собирать данные об устройстве, версию операционной системы, размер оперативной памяти, IP-адрес, наличие видеокарты. Он понимал и осознавал, что данная программа является вредоносной, поскольку обладал навыками и знаниями в этой сфере. Его не устраивало, что стиллер не работает в полном объеме, в результате чего, он решил обратиться к людям, понимающим в данной сфере, чтобы постараться починить код.

В тот момент он состоял в сообществе людей, интересовавшихся кодировкой, хакингом — «Phoenix», а также был подписан в телеграмме на канал «…», посвященный тематике специальной военной операции и публикующий информацию о различных атаках хак-группировок на серверы и сайты страны, где в настоящий момент проходит специальная военная операция. В сообществе он познакомился с человеком с никнеймом в «Телеграме» — «…». С ним он лично никогда не виделся, только общался посредством мессенджера «Телеграмм». Знал, что этот человек обладает знаниями, достаточными для того, чтобы поправить код его стиллера, чтобы тот работал. Он связался с ним, отправил ему скомпилированный исходный код стиллера, заархивированный в формате «RAR», попросив помочь настроить неработающие команды. «…» ему помогать не стал, так как не захотел разбираться в данном софте. Переписку с указанным лицом подтверждает. Также зимой 2023 года он отправлял стиллер посредством «Телеграмм» людям с никнеймами «3», «5» с целью того, чтобы те также посмотрели и проверили скомпилированный исходный код. Отправлял стиллер также в формате файла с расширением «RAR».

Стиллер на тот момент был в таком же состоянии, в нем также не работала часть команд. Тестирование удовлетворяющих его результатов не достигало, и у него начал пропадать интерес к данной сфере, в результате чего, код он так и не усовершенствовал, после чего, больше не использовал. Признает, что распространил среди нескольких его знакомых исходный код вредоносной программы — стиллер, но делал он это, не имея корыстных намерений, а только в целях изучения работы данной сферы кодинга.

Никому не отправлял файл с расширением «ехе», а отправлял именно исходный код. Сам исходный код в своем исходном состоянии не наносил вреда человеку, который его запускал, так как тот, сам по себе, не является вирусом. Данный код может использоваться и в полезных целях, для облегчения аутентификации пользователей сайтов. В содеянном раскаивается

Тот факт, что ФИО1 отправлялся не исполняемый файл с расширением». exe», а часть кода, с учетом вышеуказанных разъяснений Постановления Пленума ВС РФ значения для квалификации содеянного подсудимым значения не имеет.

ФИО11 не являлся лицом, использовавшим указанную программу правомерно для установленных законом целей.

Таким образом, действия ФИО1 суд квалифицирует по ч. 1 ст. 273 УК РФ как использование и распространение вредоносных компьютерных программ, то есть распространение и использование компьютерных программ, заведомо предназначенных для несанкционированного копирования компьютерной информации и нейтрализации средств защиты компьютерной информации.»

(Приговор от 22.10.2024 №1—333/2024)

Самая большая опасность для пентестеров — это обвинение по ст.273 УК РФ, просто за разработку собственных программных инструментов, используемых при проведении пентеста.

Для наступления уголовной ответственности достаточно заключение эксперта, что разработанная программа имеет признаки вредоносного программного обеспечения. Просто наличие на компьютере, можно даже не применять.

«С.П. создал и распространил компьютерную программу, заведомо предназначенную для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации и нейтрализации средств защиты компьютерной информации, совершенные из корыстной заинтересованности, при следующих обстоятельствах.

Так, С.П. действуя с возникшим умыслом на создание и распространение вредоносной компьютерной программы, из корыстной заинтересованности, ввиду обладания достаточными, самостоятельно приобретенными познаниями и практическими навыками в области компьютерной информации, и работы с компьютерным обеспечением, с помощью принадлежащей ему персональной электронно-вычислительной машины, находясь по месту своего жительства, по адресу, приискал на интернет — ресурсе приискал утилиты программного обеспечения «Arachni scanner», осуществляющие поиск уязвимости на WEB-ресурсах, и действуя в указанный период времени во исполнение своего преступного умысла, находясь по указанному адресу, используя вышеуказанные утилиты программного обеспечения «SQLMap» и «Arachni scanner», при помощи языка программирования "<данные изъяты>», создал вредоносную компьютерную программу, предназначенную для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации и нейтрализации средств защиты компьютерной информации, заведомо зная о ее вредоносности, наименовав ее "<данные изъяты> 0», которая в соответствии с заключением эксперта N от ДД. ММ. ГГГГ, может быть использована для неправомерного доступа к компьютерной информации, ее уничтожения, блокирования, модификации либо копирования и нейтрализации средств защиты компьютерной информации.

С.П. признать виновным в совершении преступления, предусмотренного ч. 2 ст. 273 Уголовного кодекса Российской Федерации и назначить наказание в виде лишения свободы на срок два года со штрафом в размере 100 000 (сто тысяч) рублей, с отбыванием наказания в исправительной колонии строгого режима.»

(Приговор от 19.09.2022 №1—207/2022)

А вот так это выглядело глазами обвиняемого

«данная программа не является вредоносной программой, а является программой для тестирования сайтов с помощью которой можно выявить уязвимость сайтов. Пояснил, что им была создана оболочка вокруг данной программы, позволяющая полностью автоматизировать процесс, поскольку сама по себе программа является консольной, поэтому ей пользоваться не удобно, в связи с чем он сделал интерфейс к этой программе для удобства. Сама программа предназначена для автоматизирования тестирования сайтов на проникновение. Данная программа не является заведомо для уничтожения, копирования и тому подобное, она заведомо предназначена для тестирования, что подтверждается ее официальным сайтом и входит во все операционные системы линокс и поставляется вместе с ними. С заключением эксперта он не согласен, поскольку у данной программы есть официальный сайт, торговый знак и официальное лицензионное соглашение, которым разрешено право на ее распространение и использование при определенных условиях. В справке специалист О. дал описание команд полностью исказив все справки. Атакующего режима у программы не имеется. При работе с данной программой сайт как работал, так и работает, даже никто и не заметит, что работает данная программа, то есть она блокирует и не модифицирует. Программа дает полную информацию, при этом если программа находит какой-то адрес, который подтвержден SQL-инъекцией, то она дает полную характеристику, описание, методы проникновения и методы исправления этой ошибки. Вместе с тем, если это злоумышленник, то он, используя эту информацию, может ей воспользоваться, но если тестировщик, то он естественно исправляет. Сам он данную программу не использовал, а лишь тестировал на сайтах "<данные изъяты>», где дается разрешение на тестирование. После тестирования результат всегда был положительный и данные сайты не блокировались после использования данного программного обеспечения, поскольку сайты ее даже не замечали, но программа показывал свою работоспособность. В программу встроен браузер, при этом сама программа не вредоносная, а вредоносными являются действия человека при использовании данной программы, но он таких действий не совершал.

Функционал данной программы заключался в том, что с помощью графической оболочки запускается перечень сайтов, необходимый для тестирования, а созданная им (С.П.) оболочка передает адреса данных сайтов сначала "<данные изъяты>», который сканирует их, определяет все адреса, выявляет среди них то, которые имеют уязвимость, и ссылку с уязвимостью передает в <данные изъяты>», которая проводит полный анализ этой уязвимости и делает полный отчет проведенной работы.»

Но суд посчитал, что «Доводы подсудимого и стороны защиты о том, что созданное С.П. программное обеспечение „WASP 1.0“, не является вредоносными, опровергаются исследованными судом доказательствами, в том числе и заключением эксперта.» и пентестер получил очень серьезное наказание — несколько лет колонии строго режима. Попытки обжаловать приговор безуспешны.

«Подсудимый Ж. виновным себя не признал, пояснив, что работает программистом, имеет высшее профессиональное образование в области информатизации, с 2016 г. работал в компании «…», по заданию которой с целью проведения тестирования на проникновение разрабатывал ПО «…», включающий в себя программы «BeaconDNS», «beacon_dns-admin», «dns-bot-js», предназначенные для удаленного управления, этот комплекс не может несанкционированно производить какие-либо действия, а программа «dns-bot-js» запускается открыто через командную строку, что может быть осуществлено только продвинутым пользователем; файлы tinymet. x64.dll, tinymet. x86.dll не создавал, они были переданы ему работодателем, скачал из сети Интернет, их функциональное назначение состоит в скачивании и запуске программы, им был создан файл «питон», а файлы tinymet. x64.dll, tinymet. x86.dll не изменялись им. Полагает, что выводы эксперта несостоятельны. Оказал содействие оперативному сотруднику, добровольно предоставив коды от компьютерной техники «…", давал объяснения.

Согласно заключению специалиста от 21.08.2020 г.

Программы из папок «…» и «…» являются модифицированными программными комплексами «…», предназначенными для разработки и применения эксплойтов, содержит большой набор готовых вспомогательных утилит, эксплойтов и «полезных нагрузок», позволяющих находить и эксплуатировать уязвимости в вычислительных системах. Несмотря на предназначение комплекса для использования в рамках тестирования защищенности, в частности, в тестах на проникновение, данный комплекс пользуется популярностью у злоумышленников для получения несанкционированного доступа.

Утверждения защитника о том, что созданные Ж. программы «BeaconDNS», «beacon_dns_admin», «dns-bot-js» не являются вредоносными, а представляют собой аналог легальных программ для тестирования на проникновение «…», «…», созданы по заданию работодателя, оказывающего услуги в сфере разработки программного обеспечения по защите информации, а потому эти программы не могут нейтрализовать средства защиты, несанкционированно копировать информацию с удаленного компьютера, не могут быть установлены на нем без ведома пользователя, поскольку для этого требуется создание дополнительной программы, чего не делал Ж., проверены в ходе судебного следствия и не нашли своего подтверждения.

Факты принадлежности Ж. ноутбука «…» c N… и создания им программного обеспечения «BeaconDNS», «beacon_dns_admin», «dns-bot-js» сторона защиты не отрицает.

приговорил:

Ж. признать виновным в совершении преступления, предусмотренного ч. 1 ст. 273 УК РФ, и назначить наказание с применением ст. 64 УК РФ в виде лишения свободы на срок 1 год.»

(Приговор от 29.10.2021 по делу №1—23/2021)

Да, сейчас есть разъяснения Пленума Верховного суда, которые направлены на снижение такого риска, но ими еще необходимо суметь воспользоваться

«Следует иметь в виду, что не образует состава преступления использование такой программы или информации лицом на принадлежащих ему компьютерных устройствах либо с согласия собственника компьютерного устройства, не преследующее цели неправомерного доступа к охраняемой законом компьютерной информации и не повлекшее несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств ее защиты (например, в образовательных целях либо в ходе тестирования компьютерных систем для проверки уязвимости средств защиты компьютерной информации, к которым у данного лица имеется правомерный доступ), равно как и создание подобных программ для указанных целей.»

(Постановление Пленума Верховного Суда РФ от 15.12.2022 №37

«О некоторых вопросах судебной практики по уголовным делам о преступлениях в сфере компьютерной информации, а также иных преступлениях, совершенных с использованием электронных или информационно-телекоммуникационных сетей, включая сеть «Интернет»)