Faceless — многолетний криминальный сервис анонимности/прокси на faceless.cc — не был закрыт чистым изъятием. Его инфраструктуру нейтрализовала Lumen Black Lotus Labs в марте 2024, сайт ушёл в офлайн, а исследователи считают бренд неработающим и связывают его с ребрендом «Doppelgänger». Датированный разбор с источниками.
By Редакционная команда ProxyRadar
Другие языки: English · বাংলা · Indonesia · Tiếng Việt
Ключевые выводы
- Чистого «закрытия» и публично подтверждённого изъятия правоохранителями у Faceless не было. Ключевое событие — нейтрализация на уровне сети силами Lumen Black Lotus Labs 26 марта 2024 года, а не арест или изъятие домена.
- Оригинальный бренд неработающий:
faceless.ccв офлайне (не отвечает в наших проверках), а исследователи называют Faceless «now defunct» и считают, что он ребрендировался в «Doppelgänger» примерно в мае–июне 2025 на новом ботнете KadNap.- Faceless питался ботнетом «TheMoon», а не Ngioweb/NSOCKS. Если вы видели, как Faceless смешивают с историей Ngioweb/«Water Barghest», — это другая сеть; здесь важно не путать «водопровод».
Статус проверен 19 июля 2026 года. Краткий ответ на вопрос «когда закрылся Faceless?»: единой официальной даты закрытия нет. Сервис был публично нейтрализован 26 марта 2024 года; его сайт
faceless.ccв офлайне (недоступен в наших проверках и помечен как down мониторами аптайма как минимум с середины 2025); а исследователи считают бренд Faceless неработающим, оценивая, что его операция вновь появилась как «Doppelgänger» в 2025 году. Так что «он закрылся давно» по сути верно — но это была медленная нейтрализация и ребренд, а не чистый takedown.
Если вы спрашиваете «что случилось с Faceless — его закрыли, и когда?», честный ответ интереснее одной даты изъятия. Faceless был одним из самых долгоживущих криминальных сервисов анонимности в русскоязычном андеграунде. Его не разгромили рейдом в конкретный день; его медленно задушила индустриальная нейтрализация, он ушёл в офлайн и, судя по всему, вновь появился под новым именем. Ниже — датированная хронология с источниками, где факты отделены от догадок.
Faceless — это сервис анонимности/прокси на основе малвари (обычно домен faceless.cc), сдававший в аренду доступ к десяткам тысяч скомпрометированных устройств, чтобы клиенты могли пропускать через них трафик и скрывать своё истинное происхождение. Годами он предлагал доступ дешевле доллара в день, не требовал верификации личности (без KYC) и принимал только криптовалюту — идеальные условия для тех, кто хотел «отмыть» источник вредоносного трафика.
По данным KrebsOnSecurity, Faceless управлял русскоязычный киберпреступник под ником «MrMurza», активный на форумах как минимум с 2012 года. Faceless не возник из ниоткуда: он вырос из более раннего сервиса анонимности «iSocks», запущенного в 2014 году. Примерно в сентябре 2016 MrMurza сообщил пользователям iSocks о сворачивании сервиса в пользу Faceless, предложив бесплатную миграцию до введения регистрационных сборов (по сообщениям, $50–$100). Иными словами, у бренда Faceless корни примерно на десятилетие назад.
В отличие от «residential»-брендов, попавших под волну 2026 года — многие из которых перепродают и whitelabel-ят мощности друг друга, — Faceless держал собственный пул на основе ботнета. Это важное различие, к которому мы будем возвращаться.
Стоит развеять частую путаницу. Faceless питался ботнетом «TheMoon» — малварью, захватывавшей end-of-life SOHO-роутеры и IoT-устройства. Это не ботнет Ngioweb и не то же самое, что сервис NSOCKS или актор «Water Barghest», которых исследователи связывают с Ngioweb. Это отдельная экосистема. Если вы видели упоминание Faceless рядом с Water Barghest — такое смешение распространено, но неверно.
Lumen Black Lotus Labs оценила TheMoon как основного, если не единственного, поставщика ботов для Faceless. По их телеметрии пересечение было экстремальным — в одном десятидневном окне около 80–90% устройств, общавшихся с управляющими серверами Faceless, также общались с серверами TheMoon. Устройства были непропорционально сосредоточены в США (~80% ботов Faceless), а сервис использовался для сокрытия трафика операторов малвари вроде SolarMarker и IcedID.
MrMurza открывает iSocks, рекламируемый на русскоязычных крайм-форумах как способ пропускать трафик через скомпрометированные компьютеры.
Существующих пользователей iSocks переводят на Faceless, который становится флагманским брендом анонимности.
Krebs публикует детальное расследование («Giving a Face to the Malware Proxy Service 'Faceless'»), документируя оператора, цены и десятилетнюю историю сервиса. На этот момент Faceless вполне жив.
Lumen Black Lotus Labs публично раскрыла операцию Faceless/TheMoon и объявила, что заблокировала весь трафик к выделенной инфраструктуре обоих и от неё по всей глобальной сети Lumen, а также выпустила индикаторы компрометации (IoC). В отчёте описывалась сеть, выросшая до более 40 000 ботов в 88 странах в начале 2024 года, включая одну кампанию, скомпрометировавшую более 6 000 роутеров ASUS менее чем за 72 часа. Именно это событие большинство имеет в виду, говоря, что Faceless «сняли», — но важно: это была нейтрализация на уровне сети силами частной компании, а не изъятие правоохранителями. Публично об арестах и баннере изъятия на домене не сообщалось.
После нейтрализации faceless.cc перестал стабильно отвечать. Публичные проверки аптайма показывают таймауты домена с нескольких континентов к середине 2025 года, и он остаётся недоступным в наших проверках.
Запускается новый криминальный прокси-сервис «Doppelgänger». Исследователи Lumen Black Lotus Labs совместно со Spur оценивают Doppelgänger как функциональный ребренд ныне неработающего Faceless.
Lumen опубликовала исследование о новом одноранговом ботнете «KadNap» (на кастомном Kademlia DHT, в основном захватывает роутеры ASUS, ~14 000 жертв в день). Боты KadNap продаются через Doppelgänger — сервис, который Lumen и Spur связывают с неработающим Faceless. Это самое ясное публичное подтверждение того, что операция не умерла, а сменила «одежду».
Прямо: Faceless никогда не закрывали официально в конкретную объявленную дату, и нет публичных данных об изъятии полицией или аресте. Реалистичный ответ на «когда закрылся» — это окно, а не дата:
faceless.cc ушёл и остался в офлайне.Так что если вам говорят «Faceless закрылся давно», по итогу это в целом верно — оригинального бренда нет, — но механизм был медленной нейтрализацией и ребрендом, а не чистым takedown.
Для подавляющего большинства легитимных пользователей прокси ответ прост: Faceless — сервис, которым вам и не следовало пользоваться. Это был откровенно криминальный инструмент анонимности на основе ботнета из захваченных роутеров обычных людей. Его исчезновение — хорошая новость, а не «дыра на рынке», которую надо заполнить.
Более широкий урок проходит через всё наше освещение 2026 года: дешёвая «анонимность», скрывающая источники, почти всегда — чужое скомпрометированное оборудование. История Faceless → Doppelgänger показывает, насколько устойчивы такие операции: нейтрализуй инфраструктуру — и операторы отстраиваются на свежем ботнете под новым именем. Именно поэтому погоня за самым дешёвым пулом «без вопросов» — проигрышная игра.
Не чистым изъятием. Ближайшее к дате закрытия — 26 марта 2024, когда Lumen Black Lotus Labs публично нейтрализовала инфраструктуру Faceless/TheMoon, заблокировав трафик и выпустив IoC. Публичных данных об аресте или изъятии домена нет. После этого сайт faceless.cc ушёл в офлайн, и исследователи называют бренд неработающим.
Исследователи считают, что операция вновь появилась как «Doppelgänger» примерно в мае–июне 2025, на новом одноранговом ботнете KadNap (раскрыт Lumen в марте 2026). То есть бренда «Faceless» нет, но лежащий в основе криминальный прокси-бизнес, судя по всему, продолжился под новым именем.
Нет. Faceless питался ботнетом TheMoon. Ngioweb (связан с сервисом NSOCKS и актором «Water Barghest») — отдельный ботнет и экосистема. Их часто путают, потому что оба злоупотребляют SOHO-роутерами, но это не одна сеть.
По данным KrebsOnSecurity, Faceless управлял русскоязычный киберпреступник под ником «MrMurza», и сервис вырос из более раннего «iSocks», запущенного в 2014 году.
Покупать нечего легитимного. Любой сайт, называющийся Faceless сейчас, — в лучшем случае оболочка неработающего криминального сервиса, в худшем — скам или ребренд, маршрутизирующий через захваченные устройства. Избегайте.
faceless.cc со стороны ProxyRadar (19 июля 2026): домен недоступен.faceless.cc фиксируется офлайн мониторами аптайма; бренд называют неработающим.faceless.cc по-прежнему недоступен.Домен ip2world.com снова резолвится, но витрина по-прежнему не работает — теперь там сторонняя status-страница, а не вход, кабинет или оплата IP2World. Что можно подтвердить на 18 июля 2026 года.
НовостиДатированный трекер с источниками о разгроме residential-прокси в 2026: январская операция против IPIDEA, июльское изъятие NetNut ФБР и Google, пауза продаж 9Proxy — и таблица статусов по брендам со ссылками на все наши отчёты.
НовостиДомен Tab Proxy больше не резолвится после того, как Google назвала бренд в операции против IPIDEA. Что подтверждено, что осталось рекламой и что делать бывшим клиентам.