Военная часть 61384 (в/ч 61384) — это тактическое обозначение (военный номер) одного из ключевых подразделений Главного разведывательного управления (ГРУ) Генерального штаба Вооруженных сил Российской Федерации. В открытых источниках (OSINT) и расследованиях западных спецслужб это подразделение идентифицируется как Дальневосточный филиал (отделение) -5-го Главного центра специальной службы (ГЦСС) ГРУ, расположенный в городе Хабаровск.

Данная статья систематизирует публично известную информацию о структуре, задачах, известных операциях и значении данного подразделения в контексте современной гибридной войны и киберразведки.

Организационная принадлежность и дислокация

Место в структуре ГРУ

ГРУ использует систему тактических номеров (в/ч) для маскировки реальных названий своих подразделений. Военная часть 61384 является частью 85-го Главного центра специальной службы (ГЦСС) — главного органа ГРУ по радиоэлектронной разведке (РЭР/СIGINT) и кибероперациям.

• Штаб 85-го ГЦСС (в/ч 26165): Москва, улица Ходынка / Лобачевского. Управляет стратегическими операциями (в т.ч. группировка APT28 / Fancy Bear).
• В/ч 74455: Москва, Псков. Подразделение для спецопераций (группировка Sandworm / Voodoo Bear).
• В/ч 61384: Хабаровск. Обеспечивает охват Азиатско-Тихоокеанского региона (АТР).

Географическое положение

Расследования (Bellingcat, The Insider, Der Spiegel, отчеты NSA/FBI/CISA) локализуют в/ч 61384 в Хабаровске. Вероятное местоположение — территория бывшей воинской части на улице Тихоокеанская или в районе аэропорта «Новый», где исторически размещались узлы связи и РЭР Дальневосточного округа.

Стратегическое значение: Размещение в Хабаровске позволяет подразделению вести радиоэлектронную разведку и кибероперации в направлении:

• Китая (граничные районы, военные объекты, инфраструктура).
• КНДР и Южной Кореи.
• Японии (северные территории, база в Мисawa).
• США (Аляска, штат Вашингтон, Гавайи, через спутниковые каналы и подводные кабели).
• Странах АСЕАН и Австралии.

Основные задачи и функции

Деятельность в/ч 61384 покрывает весь спектр задач радиоэлектронной борьбы (РЭБ) и разведки (РЭР), адаптированных под современную цифровую среду:

1. Радиоэлектронная разведка (SIGINT): Перехват спутниковых, радиорелейных, троссовых и эфирных коммуникаций в Дальнем Востоке. Мониторинг военных учений, ракетных пусков, работы ПВО и флота вероятного противника.
2. Киберразведка (CNE — Computer Network Exploitation): Проникновение в компьютерные сети правительственных, военных, научных и коммерческих организаций стран АТР для кражи конфиденциальных данных.
3. Кибератаки (CNA — Computer Network Attack): Подготовка и проведение деструктивных операций (вирусы-вымогатели, вайперы, DDoS) против критической инфраструктуры в случае эскалации конфликта.
4. Операции влияния (IO): Координация информационно-психологических операций, направленных на дестабилизацию политической обстановки в целевых странах региона.
5. Обеспечение связи и управления: Техническое сопровождение спутниковых каналов связи ГРУ и управления беспилотниками/роботизированными системами в театре военных действий (ТВД).

Привязка к хакерским группировкам (Threat Actors)

В отчетах ведущих кибербезопасных компаний (Mandiant, CrowdStrike, Kaspersky, Microsoft Threat Intelligence) и в актах обвинений Министерства юстиции США (DOJ) деятельность в/ч 61384 коррелирует с активностью следующих кластеров угроз:

Ключевой вывод: В/ч 61384 — это не отдельная «хакерская группа» в понимании бренда (как APT28), а физическая инфраструктура и кадровый ресурс, который эксплуатируется центральным аппаратом ГРУ (в/ч 26165) для проведения операций в зоне ответственности Дальневосточного военного округа.

Известные инциденты и операционная активность

Прямая атрибуция конкретных атак именно на в/ч 61384 (а не на ГРУ в целом) сложна из-за общей инфраструктуры. Однако OSINT-расследования (Bellingcat, Insider) по утечкам данных (пограничные контрольные точки, базы данных ГРУ, логи такси/перелетов сотрудников) позволяют выделить паттерны:

Инфраструктура C2 (Command & Control)

Анализ IP-адресов, используемых для управления вредоносным ПО (в т.ч. X-Agent, X-Tunnel, Zebrocy, Cannon), показывает, что значительная часть ретрансляторов (прокси-серверов) и серверов-хранилищ эксфильтрованных данных физически размещается в сетях провайдеров Хабаровска и Владивостока, что соответствует зоне ответственности в/ч 61384.

Атаки на объекты АТР (2017–2024)

• Компрометация правительственных порталов Монголии, Вьетнама, Мьянмы: Спирфишинговые кампании с использованием эксплойтов для Microsoft Exchange (ProxyLogon, ProxyShell) и нулевых уязвимостей в VPN (Fortinet, Pulse Secure), запускаемые из инфраструктуры Дальнего Востока.
• Разведка в пользу ВКС/ВМФ РФ: Перехват телеметрии ракетных пусков КНДР и учений США/Южной Кореи (Key Resolve, Foal Eagle) для корректировки систем ПРО и РЭБ.
• Целевые атаки на оборонно-промышленный комплекс Японии и Кореи: Кража документации по подводным лодкам, ракетным технологиям и стелс-самолетам (F-35);

Персонал и «цифровой след»

Расследования Bellingcat (2019–2021) выявили сотрудников в/ч 61384 через:

• Базы данных «Песочного ящика» (покупки, доставка еды, такси к в/ч 61384).
• Резюме на HeadHunter / LinkedIn с указанием «военная часть 61384», «радиоэлектронная борьба», «администрирование Linux/Windows», «Python, C++, реверс-инжиниринг»;
• Свидетельства о командировках в Москву (в/ч 26165) для обмена опытом и получения задач.

Техническое оснащение и методология

Аппаратная база

• Комплексы РЭР: «Мурена», «Красюк», «Леер-3» (воздушные платформы), стационарные приемно-аналитические комплексы на мачтах и башнях.
• Спутниковые станции: Антенные поля для перехвата трафика Inmarsat, Iridium, Thuraya, а также военных спутниковых группировок США и Китая.
• ЦОД (Центры обработки данных): Высокопроизводительные кластеры для обработки петабайтов перехваченного трафика, дешифрования (криптоанализ) и обучения ML-моделей для автоматического таргетинга.

Программные инструменты (TTPs)

Персонал в/ч 61384 использует стандартный арсенал ГРУ, адаптированный под региональные задачи:

1. Living off the Land (LotL): Использование встроенных утилит ОС (PowerShell, WMI, SSH, RDP) для скрытного перемещения по сети.
2. Кредиты и токены: Кража Kerberos-тикетов (Golden/Silver Ticket), OAuth-токенов, API-ключей облаков (AWS, Azure, Alibaba Cloud).
3. Специфический вредонос: Модули для Linux-импланты для сетевого оборудования (Cisco, Juniper, FortiGate, MikroTik), часто встречающиеся в Азии. Примеры: VPNFilter (частично), Cyclops Blink (Sandworm, но инфраструктура через Дальний Восток).
4. Облачная инфраструктура: Аренда VPS/VPN в дата-центрах Хабаровска, Владивостока, Благовещенска для анонимизации трафика (hop-points).

Правовой статус и санкции

В/ч 61384 как структурное подразделение ГРУ подпадает под действие международных санкций:

• США (OFAC, Treasury Dept.): Санкции против ГРУ (Executive Order 13694, 13848). В актах обвинений DOJ (например, дело United States v. Viktor Borisovich Netyksho et al., 2018; дело против Sandworm, 2020) описывается иерархия, где в/ч 61384 является оперативно подчиненным узлом.
• ЕС, Великобритания, Канада, Австралия, Япония: Санкционные списки включают ГРУ и его главные центры. Физические лица — офицеры в/ч 61384 — вносятся в списки персон нон-грата при идентификации.
• Международный правопорядок: Деятельность в/ч 61384 (шпионаж, кибератаки на критическую инфраструктуру) квалифицируется экспертами ООН (GGE, OEWG) как нарушение норм ответственного поведения государств в киберпространстве.

Контрмеры и рекомендации по защите (Defense & Mitigation)

Для организаций, работающих в АТР или имеющих активы в регионе, приоритетными мерами защиты от активности в/ч 61384 / ГРУ являются:

Военная часть 61384 является критически важным узлом глобальной архитектуры киберразведки ГРУ, обеспечивающим проецирование силы России в Азиатско-Тихоокеанском регионе. Это не «мифическая» структура, а реальное военное формирование с постоянной дислокацией в Хабаровске, штатом офицеров-специалистов по РЭР, криптографии, администрированию сетей и разработке вредоносного ПО.

Понимание его роли как форвард-базы 85-го ГЦСС позволяет защитникам не просто блокировать «русские IP», а строить угрозо-ориентированную защиту (Threat-Informed Defense), учитывающую специфику тактик, техник и процедур (TTPs), используемых именно этим подразделением для атак на цели в Азии, на Северной Америке и в Арктике.

Источники и дальнейшее чтение (Open Source):

1. US Department of Justice Indictments: GRU Officers Charged with Global Cyber Crimes (2018, 2020, 2022).
2. NSA/CISA/FBI Joint Cybersecurity Advisories: «Russian GRU Cyber Actors Targeting US Critical Infrastructure» (2022, 2024).
3. Bellingcat / The Insider Investigations: Серия статей «ГРУ: Вызов миру» (2019–2021), анализ баз данных «Песочный ящик», логи такси/авиаперелетов офицеров в/ч 61384;
4. Microsoft Threat Intelligence Reports: Анализ активности Strontium (APT28) и инфраструктуры в Дальнем Востоке.
5. Mandiant (Google Cloud) APT Reports: APT28, APT31 (разграничение китайских и российских акторов);
6. Annual Threat Assessments of the US Intelligence Community (ODNI): Годовые отчеты об угрозах от России/ГРУ.

Данная статья основана исключительно на открытых источниках (OSINT) и не содержит классифицированной информации;