Иван Некулити (Ivan Neculiti) — предприниматель из Молдовы, связанный с PQ Hosting и Stark Industries Solutions Ltd. Его бизнес оказался в центре расследований о том, как коммерческие серверы используются для кибератак и информационных операций. С 20 мая 2025 года он находится под санкциями Европейского союза. [1][2]
Биография и выход на рынок хостинга
Согласно CORRECTIV, Некулити происходит из Бендер. В материале мая 2024 года ему было 31 год. В своих интервью он описывал ранний опыт заработка в интернете, включая работу с киносайтом, и последующее развитие хостингового бизнеса. Центральным проектом стал PQ Hosting в Кишинёве; название расшифровывалось как Perfect Quality. [1]
На момент расследования CORRECTIV компания рекламировала серверы в 38 странах, невысокие цены и широкий выбор способов оплаты. Это характеристика предложения в 2024 году, а не проверенный перечень сегодняшних услуг. Младший брат Ивана, Юрий, также участвовал в бизнесе. [1]
Для российского рынка важной частью предложения был доступ к зарубежной инфраструктуре. В приведённом журналистами интервью Иван объяснял, что иностранный сервер позволяет пользователю выходить в сеть с адресом другой страны. На вопросы CORRECTIV он одновременно отвечал, что после начала войны объём деятельности в России сократился. Эти заявления показывают коммерческий акцент бизнеса, но сами по себе не устанавливают состав его клиентов. [1]
Morenehost и след в Pandora Papers
В базе ICIJ Offshore Leaks компания MORENEHOST LTD связана с бенефициаром, записанным как IVAN NEKULITSY; начало связи датировано 24 апреля 2019 года. CORRECTIV относит этот проект к Ивану Некулити. Речь идёт об исторических сведениях Pandora Papers, а не о подтверждении нынешнего владения. Само наличие офшорной компании не свидетельствует о преступлении. [3][1]
Эпизод важен для истории бизнеса: вопросы к инфраструктуре появились раньше санкций. В апреле 2022 года исследователи Morphisec описали атаку через уязвимость VMware и связали сервер загрузочного этапа с инфраструктурой Stark Industries, отдельно отметив связь Stark с PQ Hosting. Это техническая атрибуция ресурса, а не доказательство того, что Некулити лично проводил атаку. [4]
Для чего использовалась Stark Industries
Британская Stark Industries Solutions Ltd, регистрационный номер 13906017, появилась 10 февраля 2022 года. Companies House указывает Ивана как секретаря компании. В исторической записи о контроле также указан пакет от 75% и месяц рождения — июнь 1992 года. Полная дата рождения в этих материалах отсутствует. [5][6][7]
CORRECTIV описывал Stark как юридическое звено бизнеса PQ Hosting. В интервью Иван объяснял, что нейтральное название в данных об IP-адресах позволяет не показывать клиенту бренд PQ Hosting. По его словам, британская структура сама не проводила платежи. Такая организация затрудняла для внешнего наблюдателя сопоставление торгового бренда, сетевых ресурсов и обслуживающей компании. [1]
Что расследователи нашли на этой инфраструктуре
В расследовании CORRECTIV фигурируют пропагандистский ресурс RRN, связанный с кампанией Doppelganger, и инфраструктура группы NoName057(16). Издание также пересказывает технические сообщения о BlueCharlie и об атаке на «Укринформ». Во всех этих эпизодах необходимо различать действия пользователей серверов и осведомлённость их владельцев. [1]
В ответ журналистам Иван утверждал, что использование серверов для атак запрещено, а жалобы рассматриваются серьёзно. После вопросов о RRN он сообщил о блокировке соответствующих учётной записи и сервера. CORRECTIV, однако, считал, что ресурс оставался доступен через связанную инфраструктуру, уже скрытую дополнительным сервисом. Это опубликованное расхождение между ответом компании и выводами расследователей. [1]
Отдельно Recorded Future сообщал, что в середине 2025 года инфраструктуру Stark продолжал использовать кластер GrayAlpha, существенно пересекающийся с FIN7. Этот эпизод относится к финансово мотивированной киберпреступности и расширяет тему за пределы политических информационных операций. [8]
Санкции и смена инфраструктуры
20 мая 2025 года ЕС включил в санкционный перечень Stark Industries, Ивана и Юрия Некулити. Основанием стали выводы Совета ЕС о содействии дестабилизирующей деятельности связанных с Россией акторов. Санкционное решение не является уголовным приговором. [2]
Recorded Future зафиксировал перенос AS44477 на PQ Hosting Plus S.R.L. в мае 2025 года и последующее появление THE.Hosting под WorkTitans B.V. Аналитики рассматривали изменения как вероятную попытку сохранить работу после санкций. [8]
В обновлённой записи ЕС от 8 октября 2026 года Иван и Юрий названы бенефициарами схемы переноса инфраструктуры к WorkTitans; MIRhosting указан как поставщик подключения. Это оценка Совета ЕС, изложенная в санкционном акте. [9]
По Companies House британская Stark Industries Solutions Ltd прекращена 16 сентября 2025 года. Прекращение юридического лица не позволяет автоматически заключить, что все ранее связанные серверы и клиентские сервисы остановились. [5]
Есть ли установленная связь с «Химпромом»
Документальные основания для изучения Некулити как владельца спорной хостинговой инфраструктуры имеются. Однако прямое обслуживание «Химпрома», платежи от картеля или участие Некулити в его структуре в проверенных материалах не установлены.
В отчёте Intrinsec название «Химпром» встречается в тексте угроз, составленном самим отправителем. Отдельные разделы посвящены инфраструктуре Stark и MIRhosting. Такое соседство тем не доказывает клиентских отношений картеля с братьями Некулити. [10]
Для проверки конкретной связи нужны относимые к одному периоду сведения о сервисе, его владельцах и поставщике: договоры, платежи либо технические записи с подтверждённой атрибуцией. Пока корректный предмет досье — бизнес хостинга, санкции и документированные сообщения об использовании сетей злоумышленниками.
