Военная часть 41468 — это таинственный номер, который в открытых источниках (OSINT) и расследованиях международных спецслужб и кибербезопасности жестко привязан к Главному центру специальных технологий (ГЦСТ) Главного управления Генерального штаба Вооруженных Сил Российской Федерации (ГУ ГШ ВС РФ), более известному как ГРУ․

Данная статья систематизирует информацию, доступную в публичном пространстве: в официальных документах США, отчетах ведущих компаний по кибербезопасности и расследованиях независимых журналистских организаций (например, Bellingcat, The Insider, Der Spiegel)․

Официальное название и подчиненность

• Полное предполагаемое название: Главный центр специальных технологий (ГЦСТ) ГУ ГШ ВС РФ․
• Военная часть: 41468 (ранее в некоторых документах встречался номер 26165, который часто ассоциируется с тем же подразделением или смежным отделом ГЦСТ)․
• Подчиненность: Прямо подчиняется Начальнику ГУ ГШ ВС РФ (Руководителю ГРУ)․
• Профиль деятельности: Разработка, тестирование и эксплуатация специального программного обеспечения (вредоносного ПО), проведение операций в киберпространстве (разведка, саботаж, влияние), обеспечение криптографической стойкости и техническая поддержка спецопераций ГРУ․

Географическое расположение

Согласно открытым данным (реестрам ЕГРЮЛ, данным о госзакупках, расследованиям Bellingcat), основное дислоцирование части находится по адресу:

Московская область, г․ Химки, ул․ Куркино, д․ 2 (или пос․ Куркино, вл․ 2)

На спутниковых снимках объект выглядит как хорошо укрепленный военный городок с периметром охраны, антенными полями и подземными коммуникациями․ Ранее (до 2010-х) часть могла располагаться в Москве (район Ховрино/Сокол), но была перебазирована в Химки․

История формирования и эволюция

1. Советский период: Корни уходят к спецподразделениям ГРУ по радиоразведке и радиоэлектронной борьбе (РЭБ)․
2. 1990–2000-е годы: Трансформация в структуры информационной безопасности и «информационной войны»․ Создание Центра специальных технологий․
3. 2009–2010 годы: Реформа ГРУ․ Формирование на базе существующих структур Главного центра специальных технологий (ГЦСТ)․ Присвоение номера в/ч 41468․
4. 2014 год и далее: Массовое масштабирование киберопераций․ Привязка к инцидентам международного уровня․

Киберразведка: Связь с APT28 (Fancy Bear / Sednit / STRONTIUM)

Самый известный аспект деятельности в/ч 41468 в мировой общественности — это её идентификация как оператор группировки APT28 (также известной как Fancy Bear, Sednit, STRONTIUM, Sofacy, Pawn Storm)․

Ключевые публичные атрибуции:

• США (июль 2018 г․): Министерство юстиции США (DOJ) в обвинении 12 офицеров ГРУ (дело United States v․ Viktor Borisovich Netyksho et al․) прямо указало, что обвиняемые являются офицерами в/ч 41468 (ГЦСТ ГУ ГШ ВС РФ) и совершали хакерские атаки от имени APT28․
• Нидерланды (октябрь 2018 г․): Министерство обороны Нидерландов (MIVD) пресекли операцию по взлому Wi-сети ОЗХП (Организация по запрещению химического оружия) в Гааге․ Задержанные офицеры ГРУ (в т․ч․ Алексей Моренов, Евгений Серебряков) были идентифицированы как сотрудники в/ч 41468․
• Великобритания (октябрь 2018 г․): Национальный центр кибербезопасности (NCSC) официально обвинил ГРУ (в/ч 41468) в ряде атак, включая атаку на Демократическую национальную партию США (2016), атаку на ОЗХП, атаки на спортивные организации (WADA) и инфраструктуру Украины (NotPetya)․
• Компании кибербезопасности: FireEye (Mandiant), CrowdStrike, Microsoft, ESET, Kaspersky Lab годами отслеживают инфраструктуру APT28 и связывают её с интересами российского госразведывания․

Известные инструменты и вредоносное ПО (арсенал APT28 / в/ч 41468):

• X-Agent / CHOPSTICK / SOURFACE — кроссплатформенные импланты (Windows, Linux, iOS, Android)․
• X-Tunnel — утилита для туннелирования трафика и эксфильтрации данных․
• Zebrocy — семейство бэкдоров (Delphi, Go, AutoIt версии)․
• NotPetya (ExPetr) — деструктивная червь-вымогатель (2017), атрибутированный США и союзникам в/ч 41468 (подразделение «Войажер» / Unit 74455 внутри ГЦСТ)․
• VPNFilter — ботнет для заражения сетевого оборудования (роутеры, NAS)․
• Действия с нулевыми уязвимоми (0-day): активное использование эксплойтов для Microsoft Exchange (ProxyShell, ProxyLogon), Outlook, Windows Print Spooler (PrintNightmare)․

Структура и известные подразделения (по OSINT)

Согласно расследованиям (Bellingcat, The Insider, Der Spiegel) и данным госзакупок, структура ГЦСТ (в/ч 41468) включает несколько ключевых направлений/отделов:

Известные офицеры и персонал (по открытым данным)

Благодаря утечкам пограничных контрольных листов (пересечение границы РФ сотрудниками ГРУ на служебных паспортах), данным о госзакупках (закупка техники, лицензий, питания) и расследованиям Bellingcat, были идентифицированы десятки сотрудников в/ч 41468․ Среди наиболее медийных:

• Виктор Нетыкшо (Viktor Netyksho), полковник, назначен начальником ГЦСТ (в/ч 41468) примерно в 2016–2017 гг․ Фигурирует в обвинении DOJ как руководитель операции против ДНП США․
• Дмитрий Бадаин (Dmitry Badin) — майор/подполковник, ключевая фигура в делах о взломе ДНП, Бундестага, ОЗХП․ Часто выступает под псевдонимами в киберсообществе․
• Алексей Моренов, Евгений Серебряков, Олег Платонов, Алексей Минов — офицеры, задержанные в Нидерландах при попытке взлома Wi-Fi ОЗХП (имели при себе квитанции от такси до адреса в/ч 41468 в Химках)․
• Игорь Костычев (Игорь Коробов? — уточняется) — фигурирует в закупках на разработку ПО․

Примечание: Полные списки персонала (сотни имен) публикуются в расследованиях Bellingcat («The GRU’s Cyber Army») и The Insider․

Методология работы (TTPs — Tactics, Techniques, Procedures)

Деятельность в/ч 41468 (APT28) отличается высокой операционной безопасностью (OpSec) и адаптивностью:

1. Разведка (Recon): OSINT (LinkedIn, соцсети, корпоративные сайты), сканирование периметра, сбор учетных данных из утечек (Credential Stuffing)․
2. Начальный доступ (Initial Access):
   • Spear-phishing с вредоносными вложениями (Office макросы, ISO/IMG образы, LNK-файлы) или ссылками на фишинговые страницы (сбор учеток OWA/VPN/Okta)․
   • Эксплуатация уязвимостей периметра (Exchange, VPN-шлюзы Pulse Secure, Fortinet, Citrix, Zimbra)․
   • Брутфорс/Password Spraying против учетных записей без MFA․
3. Закрепление и повышение привилегий: Использование легитимных инструментов (Living off the Land — PowerShell, WMI, RDP, Scheduled Tasks), драйверов уязвимых драйверов (BYOVD) для отключения EDR․
4. Латеральное перемещение: Pass-the-Hash/Ticket, Kerberoasting, использование SMB/WMI/SSH․
5. Эксфильтрация: Архивация (7z, RAR), шифрование, передача через C2-каналы (HTTP/HTTPS, DNS, WebSockets), часто через скомпрометированные легитимные хостинги или взломанные сайты-ретрансляторы;
6. Антифорензика: Очистка логов (wevtutil, auditpol), таймстампинг (timestomping), удаление артефактов, использование RAM-only имплантов․

Цели и география интересов

Цели в/ч 41468 коррелируют с геополитическими приоритетами РФ:

• Нато и страны-члены ЕС: Министерства обороны, МИДы, парламенты, мыслительные центры (think tanks)․
• Украина: Правительство, военные, энергетика, логистика, телекомы (постоянный театр операций с 2014 г․)․
• Международные организации: ОЗХП, МАГАТЭ, ВАДА, ООН, МВФ․
• Спортивные организации: ВАДА, МОК, национальные антидопинговые агентства (в ответ на санкции против русского спорта)․
• Инфраструктура выборов: Партийные штабы, избирательные комиссии (США 2016, 2020; Франция 2017; Германия 2017)․
• Оборонно-промышленный комплекс и наука: Авиация, ракеты, ядерные технологии, вакцины (COVID-19)․
• Медиа и журналисты: Расследовательные издания (Bellingcat, The Insider, Radio Liberty, Meduza)․

Правовой статус и санкции

• США: В/ч 41468 (ГЦСТ) и её офицеры находятся под санкциями OFAC (Executive Order 13694, 13757, 13848)․ Запрещены любые транзакции с имуществом, блокируются активы в юрисдикции США․
• ЕС: Введены ограничительные меры в отношении ГРУ и конкретных офицеров в/ч 41468 за атаки на ОЗХП, Бундестаг, NotPetya․
• Великобритания, Канада, Австралия, Новая Зеландия: Синхронизированные санкционные пакеты․
• Международный уголовный суд / Нацсуды: Обвинительные акты США (DOJ) являются основой для международных ордеров на арест (Red Notices Interpol), хотя РФ не экстрадирует своих граждан․

Значение для кибербезопасности (Defense Perspective)

Понимание привязки APT28 к в/ч 41468 критически важно для защитников (Blue Teams):

• Threat Intelligence: Использование IOC (Indicators of Compromise) — IP, домены, хеши файлов, сертификаты — ассоциированных с в/ч 41468, для блокировки на периметре․
• MITRE ATT&CK Mapping: Группировка G0007 (APT28) в фреймворке MITRE ATT&CK детально описывает их TTPs․ Рекомендуется настраивать правила детекции (Sigma, YARA, KQL, Splunk) именно под эти техники․
• Hardening: Принудительное MFA везде (особенно VPN, почта, облака), патчинг 0-day/1-day уязвимостей периметра (Exchange, VPN, RDP) в приоритетном порядке, отключение макросов Office, ограничение PowerShell (Constrained Language Mode), внедрение EDR/XDR с поведенческим анализом․
• Threat Hunting: Проактивный поиск признаков активности: нестандартные процессы (rundll32, regsvr32, mshta, wscript), подозрительные запланированные задачи, анонимные входы в облачные среды (Azure AD, AWS, GCP)․

Военная часть 41468 (ГЦСТ ГУ ГШ ВС РФ) является одним из самых продвинутых, агрессивных и хорошо ресурсобеспеченных государственных киберакторов в мире (APT28)․ Её деятельность перешла рамки традиционной разведки, охватывая саботаж критической инфраструктуры (NotPetya, Industroyer), влияние на демократические процессы (взломы партий, утечки данных) и шпионаж в интересах российского государства․

Для организаций, попадающих в зону интересов ГРУ (оборона, госсектор, критическая инфраструктура, политики, журналисты), игнорирование угрозы от в/ч 41468 недопустимо․ Эффективная защита требует перехода от реактивной модели к проактивной (Threat Hunting, Zero Trust, непрерывное управление уязвимостями и обучение персонала устойчивости к таргетированному фишингу)․

Данная статья составлена исключительно на основе информации из открытых источников (OSINT) и не содержит сведений, составляющих государственную тайну․ Информация носит справочный и образовательный характер․