ПРЕДЫСТОРИЯ.

NET-WORKER: как хакер из CONTI с тысячами биткоинов выдал себя одной фразой

Когда ты копаешься в тёмных уголках даркнета, жди сюрпризов. Один из них — NET-WORKER, представлявшийся молодым хакером с тысячами биткоинов, связями с LockBit и доступом к российским спецслужбам.

Однако анализ его поведения, речи и цифровых следов показывает: за этим образом стоит вовсе не подросток, а Алексей Курашов, также известный как Target — бывший участник группировки Conti Ransomware. И выдал его не сложный эксплойт, а привычка писать «дадада».

---

Комментарий, который запустил расследование

NET-WORKER появился в моём поле зрения 24 июня 2025 года после публикации моего расследования об Олеге Факееве (White) — пентестере Conti и близком друге Алексея Курашова. В моём телеграм канале под материалом он оставил язвительный комментарий:

«Дадада братанчик, Блумберг ебать авторитетное издание, ещё скажи.»

На первый взгляд — обычный троллинг. Но именно эта манера речи уже встречалась раньше.

В утёкших внутренних чатах Conti один из участников с ником target нередко использовал одинаковые конструкции:

 

2020-09-17 10:34:08  target  bentley    да да да да  
2020-10-02 00:00:07  target  troy       я говорю да да да  
2020-09-25 10:11:30  target  professor  дадад  
2020-09-25 10:10:49  target  professor  дада

Такие речевые привычки редко контролируются и часто сохраняются годами. В криминальных расследованиях это называют поведенческим маркером.

Когда я написал NET-WORKER в личные сообщения, назвав его «Алекс», он почти сразу удалил все свои комментарии под постом. Ну, а какой киберпреступник после такого не запаникует?

---

Образ «подростка-гения»

В переписке NET-WORKER выстроил масштабную легенду. По его сообщениям, он:

• основатель проекта NET-WORKER ALLIANCE

• даёт интервью СМИ

• консультант и подрядчик структур СВР, ЦИБ ФСБ, Ростехом, Минобороны и Роскосмосом

• организатор DDoS-операций против инфраструктуры Молдовы «по заказу Газпрома»

• деанонимизировал участников хактивистской группировки KillNet

• разрушал инфраструктуру хактивистской группировки Annonimous

• технический сотрудник наркоплощадки MEGA, якобы действующий «из идеологических соображений»

• партнёр LockBitSupp, участвующий в отмывании криптовалюты.

• владеет более чем 6000 BTC

Я провел факт-чек. И знаете, что самое забавное? Большая часть всего этого оказалась правдой.

---

Что удалось подтвердить

Анализ переписок, чатов и активности показывает, что NET-WORKER — это Курашов, который после распада Conti в 2022 году продолжил работу в даркнете.

Факты:

• В 2023 году он внедрился в наркоплощадку MEGA под видом модератора

• Участвовал в DDoS-атаках на конкурентов

• Занимался деанонимизацией ключевых хакерских группировок и даркнета

• Зафиксирован эпизод распространения наркотических средств в особо крупном объеме на сумму 6,4 млн рублей

  5 октября 2023 года:
  «Сумма кладов общая 6,4 млн₽» (HUSTLE FAMILY, imsg_bot)

• Имеются публичные переписки, указывающие на сотрудничество с российскими структурами и промышленный шпионаж в сфере ВПК

• LockBitSupp публично подтвердил их знакомство

Проще говоря, легенда NET-WORKER — это не выдумка, а завуалированная версия реальной криминальной биографии.

---

От жалоб — к угрозам

Когда стало ясно, что его идентифицируют, тон переписки резко изменился.

Сначала — попытки вызвать сочувствие: мол, мои публикации рушат семьи, у людей разрушаются бизнес, он якобы помогает пострадавшим финансово.

Затем — прямые угрозы:

«У меня более 6000 биткойнов

Я могу купить страну

Танки

Самолеты

Я могу устроюсь войну с фбр

Настоящую

Я могу объявить акцию как Эскобар

Убивать мусаров

А точнее агентов фбр

Ты не знаешь, кто за мной стоит.»

(NET-WORKER давал своё согласие на публикацию частной переписки и скриншотов)

 

Были и угрозы жестокой физической расправы, которые здесь не приводятся.

После этого он предложил «мирное соглашение»: удалить опубликованные материалы в обмен на «примирение». Предложение было отклонено.

---

Попытка снова спрятаться за «школьником»

После отказа NET-WORKER заявил, что он якобы просто троллил и «прикидывался Таргетом».
Он прислал голосовые сообщения и геолокацию, демонстрируя, что он подросток.

В ответ я предложил простой тест — поставить на аватарку паспорт Курашова. Он согласился и сделал это.

Дополнительно был проведён повторный стилометрический анализ. Результат: полное совпадение с аккаунтом RED, ещё одним псевдонимом Курашова.

---

Роль «дропа»

В ходе расследования всплыло имя Кирилла Пантелеева, 2008 года рождения. Его видео и голос совпадают с частью материалов, которые присылал NET-WORKER.

С высокой вероятностью, подросток использовался как витрина или прикрытие — аккаунт оформлен на него, но управляется другим человеком. Классическая схема для общения со СМИ и отвода подозрений.

---

Цифровые следы и перелёты

Анализ активности через Fanstat и imsg-бот показал:

• первые следы аккаунта — январь 2023 года

• с сентября 2023 года — стабильная активность

• летом 2024 года — редкие паузы

Эти паузы идеально совпадают с перелётами Курашова.
Всего — более 30 рейсов за период с сентября 2023 по декабрь 2024 года.

Когда Курашов находился в воздухе — NET-WORKER молчал.
Когда он приземлялся — аккаунт снова оживал.

---

Одинаковая речь, одинаковое мышление

Финальное подтверждение — язык.

Курашов ранее писал:

«Офис должен себя окупать, а не лезть в карманы.»

NET-WORKER писал:

«В мой карман лезть не стоит, там всё хорошо.»

Или:

Курашов:

«Отправляй куда хочешь — над тобой посмеются.»

NET-WORKER:

«В ФБР отправь — они посмеются.»

Это не копирование. Это одинаковый способ формулировать мысли.

---

Итог

NET-WORKER — не подросток-гений и не новая фигура даркнета. Это Алексей Курашов, который попытался пережить распад Conti, создав новый образ.

Но привычки, язык и поведение выдали его быстрее любой утечки.
Вместо анонимности он оставил подробный цифровой след — и тем самым раскрыл не только себя, но и свою деятельность после Conti.