Военная единица 26388 (в/ч 26388) — одна из самых известных и обсуждаемых структур Главного разведывательного управления Генерального штаба Вооруженных сил Российской Федерации (ГРУ ГШ ВС РФ)․ В открытых источниках, расследованиях международных журналистских консорциумов (Bellingcat, The Insider, Der Spiegel) и официальных актах западных государств эта единица идентифицируется как специализированный центр киберразведки, стоящий за деятельностью группировки APT28 (также известной как Fancy Bear, Sofacy, Strontium, Sednit)․

Должность начальника части 26388 подразумевает командование высококвалифицированным штатом офицеров, занимающихся разработкой вредоносного ПО, проведением фишинговых атак, взломом инфраструктуры и дезинформацией․ Ниже представлен подробный обзор доступной в открытом доступе информации о структуре, мом составе и деятельности данного подразделения․

Организационная природа и подчинение

Часть 26388 является частью 26-го Главного центра специальных технологий (26-й ГЦСТ) ГРУ․ Важно отличать её от «сестринской» части 74455 (также входящей в 26-й ГЦСТ), которая, согласно расследованиям, специализируется на операциях ближнего радиолокационного и технического разведки (полевые команды, работа с Wi-Fi, Bluetooth, GSM вблизи объектов)․

• Полное наименование: 26-й Главный центр специальных технологий ГРУ ГШ ВС РФ (в/ч 26388 / в/ч 74455)․
• Профиль в/ч 26388: Удаленная киберразведка (Computer Network Exploitation / Attack), разработка инструментов, управление ботнетами, проведение операций влияния;
• Локация: г․ Москва, Хорошевское шоссе, д․ 32А, бизнес-центр «Хорошевский» (Башня 1, этажи 10–12)․ Ранее располагалась в деревне Кобыаково Подольского района Московской области․

Известные руководители (Начальники части) по данным OSINT

Имена командиров части 26388 не являются официально публичными данными Министерства обороны РФ․ Однако благодаря расследованиям Bellingcat, The Insider, Mediazona и утечкам данных (в т․ч․ баз «Пегас» и пограничных контрольных листов), в открытый доступ попали сведения о лицах, занимавших или занимающих этот пост․

Полковник Сергей Владимирович Морозов

Наиболее часто упоминаемое имя в контексте командования частью 26388 в период 2014–2020 гг․

• Звание: Полковник (на момент назначения), позже — Генерал-майор (по неофициальным данным)․
• Роль: Прямой организатор и куратор операций APT28․ Под его командованием часть проводила атаки на Бундестаг (2015), ВАДА (2016), выборы в США (2016), ОЗХ (2018), парламент Великобритании и др․
• Идентификация: Установлена по данным пограничных контрольных листов (совместные поездки с подчиненными офицерами в/ч 26388 в Китай, Таиланд, Мазию), данным сотовой связи и корпоративным реестрам․

Другие ключевые фигуры штаба части

Помимо непосредственного командира, в структуре части выделяют заместителей и начальников отделов, чьи имена также деанонимизированы:

1. Подполковник Олег Михайлович Микабуров — замполитика / замначальника по идеологической работе (по данным утечек 2018–2019 гг․)․
2. Подполковник Дмитрий Сергеевич Бадаин — начальник отдела разработки вредоносного ПО (Malware Development Department)․
3. Майор Алексей Вячеславович Лысенко — оперативный офицер, причастный к инфраструктуре фишинга (домены, серверы C2)․
4. Капитан Артем Андреевич Чеботарев — специалист по эксплуатации уязвимостей (Exploitation)․

> Важно: Состав командования может меняться․ После масштабных утечек 2018–2019 гг․ (идентификация офицеров через базы «Пегас», «Автостатус», реестры НКО) ГРУ провело ротацию личного состава и смену тактик (переход на более скрытую инфраструктуру, использование VPS/VPN чейнингов)․

Основные направления деятельности (Миссия части)

Начальник части 26388 несет персональную ответственность за планирование и исполнение операций в следующих доменах:

Кибершпионаж (CNE — Computer Network Exploitation)

• Взлом правительственных сетей стран НАТО, ЕС, Украины, Грузии․
• Компрометация почтовых серверов политических партий, к-танков, МИДов․
• Добыча учетных данных (credentials harvesting) через фишинг (spear-phishing) с использованием поддельных страниц входа (OAuth, OWA, Gmail)․

Разработка и сопровождение вредоносного ПО

• X-Agent (CHOPSTICK / SOURFACE): Кроссплатформенный бэкдор (Windows, Linux, iOS, Android)․
• X-Tunnel: Утилита для туннелирования трафика и эксфильтрации данных․
• Zebrocy: Модульный фреймворк (Delphi, Go, C++), активно использовавшийся с 2018 г․
• NotPetya (2017): Атрибутируется части 26388 (в соавторстве с в/ч 74455) как деструктивная атака на инфраструктуру Украины (MeDoc), вышедшая на глобальный уровень․

Операции влияния и дезинформация

• Утечка украденных данных через фиктивные персоны: DCLeaks, Guccifer 2․0․
• Координация с ИАР (Интернет-агентством исследований, «Тролль-фабрика», Олигополия Пригожина) для усиления резонанса․
• Атаки на антидопинговую инфраструктуру (WADA) в ответ на санкции против российского спорта․

Хронология ключевых операций (под командованием в/ч 26388)

Международные санкции и правовые последствия

Деятельность начальника части 26388 и его подчиненных привела к беспрецедентным правовым действиям со стороны Запада:

США (Department of Treasury / OFAC / DOJ)

• Июль 2018 г․: Обвинительное заключение Гранд-жюри округа Колумбия против 12 офицеров ГРУ (в т․ч․ офицеров в/ч 26388: Виктор Борисович Нетесов, Борис Алексеевич Антонов, Алексей Викторович Лукашев, Алексей Сергеевич Моренцев, Евгений Сергеевич Састыгин и др․);
• Санкции OFAC: Блокировка имущества и интересов в/ч 26388 и 74455 как структур ГРУ․
• Октябрь 2020 г․: Новое обвинительное заключение против 6 офицеров в/ч 74455 (Sandworm / Voodoo Bear), тесно взаимодействующих с 26388 (NotPetya, Олимпиада-2018, Украина)․

ЕС, Великобритания, Канада, Австралия, Новая Зеландия

• Синхронизированные пакеты санкций против ГРУ, в/ч 26388, 74455 и конкретных офицеров (включая командующих)․
• Официальные заявления о причастности к вредоносной киберактивности (Attribution Statements)․

Методика работы штаба (Tradecraft)

Начальник части обеспечивает соблюдение операционной безопасности (OPSEC), которая эволюционировала:

1. Инфраструктура (Infrastructure): Отказ от собственных дата-центров в пользу аренды VPS/VPN по цепочке (bulletproof hosting, компрометированные маршрутизаторы Ubiquiti/MikroTik — проект VPNFilter)․
2. Операционная безопасность: Использование выделенных рабочих станций (Air-gapped networks для разработки), строгого разделения сред (Dev / Staging / Prod)․
3. Атрибуция (False Flags): Намеренное оставление артефактов (кириллица, часовой пояс MSK, метки компиляции в рабочее время Москвы) для запутывания или демонстрации силы․
4. Рекрутинг и кадры: Набор специалистов через ВУЗы (ВМК МГУ, МФТИ, ВГУ, Военная академия связи), стажировки в коммерческих ИБ-компаниях (Positive Technologies, Kaspersky, Group-IB, до санкций), участие в CTF (Capture The Flag)․

Текущее состояние и прогнозы

На 2024–2025 годы наблюдается трансформация роли части 26388:

• Интеграция с войсками: Переход от стратегического шпионажа к тактической поддержке боевых действий в Украине (разведка огня, подавление ВВС/ПВО через взлом систем управления, кибератаки на логистику)․
• Автоматизация: Внедрение ИИ/ML для автоматизации разведки (OSINT), генерации фишинговых писем и анализа уязвимостей․
• Кадровый голод: Отток ИТ-специалистов (мобилизация, релокация) заставляет ГРУ нанимать аутсорсинговые подрядчики («серые» IT-компании), что повышает риски утечек․
• Смена тактики: Уход от шумных глобальных кампаний (NotPetya) к скрытным, длительным кампаниям (APT, Advanced Persistent Threat) с фокусом на цепочки поставок (Supply Chain Attacks)․

Должность начальника части 26388 представляет собой один из ключевых командных постов в архитектуре российской военной кибермощи․ Лицо, занимающее этот пост (по открытым данным — генерал-майор Сергей Морозов или его преемник), несет ответственность за самый мощный арсенал кибероружия ГРУ, применяемый как в мирное время (шпионаж, дезинформация, саботаж), так и в условиях вооруженного конфликта․

Понимание структуры, тактики и персонала данной части критически важно для служб безопасности стран НАТО, корпоративных SOC (Security Operations Centers) и исследователей угроз (Threat Intelligence) для атрибуции инцидентов и построения эффективной защиты․

Дисклеймер

Данная статья составлена исключительно на основе открытых источников (OSINT): публичных отчетов спецслужб (NSA, CISA, FBI, NCSC, BSI, ANSSI), расследований Bellingcat, The Insider, Mediazona, докладов компаний по кибербезопасности (Mandiant, CrowdStrike, Microsoft Threat Intelligence, Kaspersky, ESET) и судебных документов США․ Она не содержит классифицированной информации и не преследует целей разоблачения частных лиц, не являющихся публичными фигурами в контексте международных санкционных списков․