Закрыть компанию оказалось проще, чем отключить инфраструктуру, через которую работают киберпреступники. Хостинг-провайдер Aeza, чьи серверы связывали с распространением вредоносных программ и деятельностью вымогателей, сохранил значительную часть сетевых ресурсов после американских санкций. Более того, расследование Qurium Media Foundation показало, что связанное с провайдером адресное пространство выросло более чем в 20 раз за четыре года.
Aeza предоставляла серверы и IP-адреса для размещения сайтов и онлайн-сервисов. Однако власти США обвиняли компанию в предоставлении так называемого «пуленепробиваемого хостинга». Подобные услуги позволяют владельцам вредоносной инфраструктуры дольше игнорировать жалобы на мошенничество, распространение вирусов и другие нарушения. Обычный провайдер в таких случаях может отключить клиента, тогда как «пуленепробиваемый» всеми силами старается сохранить работу серверов.
В июле 2025 года Министерство финансов США ввело санкции против Aeza Group и связанных компаний. Американские власти утверждали, что инфраструктуру провайдера использовали операторы инфостилеров Meduza и RedLine, а также вымогателя BianLian. Санкции ограничили операции с перечисленными структурами для американских лиц и организаций. В ноябре под ограничения попали дополнительные компании, которые, по версии властей, помогали Aeza обходить запреты.
Спустя год Qurium решила проверить, удалось ли санкциями действительно разрушить инфраструктуру провайдера. Авторы расследования проследили историю IP-адресов, интернет-маршрутов и компаний, распоряжающихся сетевыми ресурсами. Выяснилось, что техническая база не исчезла, а продолжила работать под другими названиями и через новые юридические лица.
Масштаб оказался неожиданным. В конце 2022 года основная сеть Aeza насчитывала около 6400 IPv4-адресов. К сентябрю 2026 года Aeza International и связанная с провайдером NetCrafters вместе использовали более 137 тысяч адресов, объединённых в 536 сетевых диапазонов. Qurium установила одиннадцать юридических лиц, через которые распределены более двух третей адресного пространства. Однако рост за четыре года не означает, что все новые адреса появились именно после санкций.
Ключевую роль сыграла возможность переносить сетевые ресурсы между компаниями. После первых ограничений часть адресов переоформили через Smart Digital Ideas, а позднее некоторые диапазоны перешли к Hypercore. Провайдеры связи продолжали обслуживать инфраструктуру, формально принадлежащую другим юридическим лицам. История маршрутизации при этом позволила обнаружить прежние технические связи.
Расследование не доказывает, что все 137 тысяч адресов обслуживают преступников или что после санкций выросло число кибератак. Qurium установила другое: смена владельцев и названий не обязательно лишает опасную инфраструктуру доступа к интернету. Для борьбы с вредоносным хостингом одной блокировки юридического лица может оказаться недостаточно, поскольку серверы, адреса и сетевые подключения способны продолжить работу под новым брендом.
