Важное примечание: Данная статья составлена исключительно на основе информации из открытых источников (OSINT), официальных заявлений государств, отчетов компаний по кибербезопасности и судебных документов. Сведения о деятельности спецподразделений часто носят засекреченный характер, поэтому полная и официальная картина может отличаться от публично доступных данных.

Общая идентификация

• Номер части: 61230 (в/ч 61230).
• Официальное название (по открытым данным): Главный центр специальных технологий (ГЦСТ) Главного управления Генерального штаба Вооруженных Сил Российской Федерации (ГУ ГШ ВС РФ).
• Ведомственная принадлежность: ГРУ (Главное разведывательное управление), военная разведка России.
• Расположение (по открытым данным): г. Москва, Ховринское шоссе, д. 22 (ранее также упоминался адрес: ул. Коптева, д. 3, но Ховринское шоссе считается основным объектом ГЦСТ).

Роль и функции

Согласно расследованиям западных спецслужб (NSA, FBI, NCSC UK, GRU Голландии) и компаниям по кибербезопасности (CrowdStrike, FireEye/Mandiant, Microsoft, ESET), в/ч 61230 является основным оператором наступательных киберопераций ГРУ. Подразделение специализируется на:

• Киберразведке: Сбор информации, шпионаж, проникновение в сети правительств, военных блоков (НАТО), международных организаций.
• Наступательных операциях: Разрушение инфраструктуры, атаки на критическую инфраструктуру (энергетика, транспорт), вымогательство, уничтожение данных (wiper-атаки).
• Операциях влияния: Дезинформация, хак-анд-лик (взлом и слив компромата), манипуляция общественным мнением.
• Разработке вредоносного ПО: Создание сложных инструментов (руткиты, загрузчики, бэкдоры) для длительного присутствия в скомпрометированных сетях.

Известные кодовые имена и группировки

В индустрии кибербезопасности активность в/ч 61230 отслеживается под множеством псевдонимов. Часто они пересекаются с активностью в/ч 26165 (ЦСС ГУ ГШ), так как эти подразделения тесно взаимодействуют.

Хронология ключевых инцидентов (по версии расследований)

Список не исчерпывающий, отражает самые резонансные случаи, публично атрибутированные в/ч 61230 / APT28:

1. 2015–2016 гг., Взлом ДНК (Демократического национального комитета) США: Проникновение в почтовые серверы, кража переписки, последующая публикация через Guccifer 2.0 и WikiLeaks для вмешательства в выборы президента США 2016 года. (Обвинение: Мюллер, GRU officers indictment 2018).
2. 2015 г. — Атака на Бундестаг (Немецкий парламент): Масштабная кибератака на ИТ-инфраструктуру парламента Германии.
3. 2016 г. — Атака на WADA (Всемирное антидопинговое агентство): Взлом базы данных ADAMS, публикация медицинских данных спортсменов (Fancy Bears’ Hack Team).
4. 2017 г. — NotPetya (ExPetr): Разрушительная атака вирусом-вымогателем/вайпером, начавшаяся в Украине (через обновление ПО M.E.Doc) и распространившаяся по всему миру. Ущерб оценивается в миллиарды долларов. (Атрибуция: США, Великобритания, Дания, Новая Зеландия, Австралия).
5. 2018 г., Отравление Скрипалей (Солсбери): Использование инфраструктуры в/ч 61230 для координации действий офицеров ГРУ (Мишин и Чепига), проведения разведки цели через Wi-Fi сети отелей и организаций (OPCW). (Расследование Bellingcat, The Insider, Der Spiegel; обвинение GRU officers 2018).
6. 2018 г. — Попытка взлома OPCW (Организация по запрещению химоружия) в Гааге: Физическая попытка подключения к Wi-Fi сети организации машиной с оборудованием, задержанная голландской разведкой (MIVD). Четверо офицеров ГРУ (в/ч 61230) были депортированы.
7. 2019–2020 гг. — Атаки на Олимпийские игры в Токио (планировались) и Пхенчхане 2018: Операция «Olympic Destroyer» (разрушение ИТ на церемонии открытия в Пхенчхане) и подготовка инфраструктуры для Токио-2020. (Обвинение UK NCSC / US DOJ 2020).
8. 2022–2024 гг., Операции на фоне войны в Украине:
   • Атаки на украинскую инфраструктуру (WhisperGate, CaddyWiper, Industroyer2, атака на энергосеctor).
   • Фишинговые кампании против стран НАТО, поставщиков военной помощи Украине.
   • Использование ботнетов (например, через уязвимости в Ubiquiti, Cisco, Fortinet) для анонимизации трафика (операция «Nearest Neighbor Attack» по версии Volexity).

Технический арсенал (TTPs — Tactics, Techniques, Procedures)

Подразделение известно высокой адаптивностью и использованием как публичных, так и уникальных инструментов:

Начальный доступ (Initial Access)

• Спеар-фишинг (Spear-phishing): Таргетированные письма с вредоносными вложениями (эксплойты для Office, PDF) или ссылками на фишинговые страницы (сбор учетных данных).
• Эксплуатация публичных уязвимостей (N-day/Zero-day): Быстрое использование уязвимостей в VPN (Pulse Secure, Fortinet), почтовых серверах (Exchange ProxyShell, ProxyLogon), веб-серверах.
• Брутфорс / Password Spraying: Атаки на внешние интерфейсы (VPN, OWA, RDP) с использованием ботнетов.

Вредоносное ПО (Malware Families)

• X-Agent / CHOPSTICK / SOURFACE: Кроссплатформенный бэкдор (Windows, Linux, iOS, Android) — «визитная карточка» группы.
• X-Tunnel: Утилита для туннелирования трафика и эксфильтрации данных.
• Zebrocy / ZebrocyGo: Семейство даунлоадеров/бэкдоров (Delphi, Go, C++), активно эволюционирующее.
• LoJax: Первый в истории UEFI-руткит (прошивка материнской платы), обеспечивающий персистентность при переустановке ОС и замене диска.
• Masepie / SteelHook / OceanMap: Легкие скрипты (PowerShell, Python, HTA) для разведки и персистентности.
• Industroyer / CrashOverride: Специализированная вредоносная программа для атаки на промышленные системы управления (ICS/SCADA), использована при отключении электроэнергии в Украине (2016, 2022).

Инфраструктура и анонимизация

• Использование компрометированных маршрутизаторов (SOHO-устройств) (Ubiquiti, Cisco, Netgear, TP-Link) как прокси-цепочек (Operational Relay Boxes — ORBs) для маскировки истинного источника атак.
• Аренда VPS/VPN серверов под фальшивыми личностями или через посредников (криптовалюта).
• Техника «Nearest Neighbor Attack» (Volexity): взлом организации-соседа жертвы для доступа к ее Wi-Fi сети в обход периметра защиты.

Персоналии (Публично известные офицеры)

Благодаря расследованиям Bellingcat, The Insider, Der Spiegel и обвинительным актам США (Department of Justice), идентифицированы конкретные офицеры в/ч 61230:

• Дмитрий Бадаин (Dmitry Badin): Старший офицер, ключевая фигура в инциденте с ДНК, WADA, Бундестаг. В розыске у ФБР.
• Иван Ермаков (Ivan Yermakov): Участник операций против WADA, OPCW, кампании «BadRabbit/NotPetya». В розыске у ФБР.
• Алексей Потемкин (Alexey Potemkin): Связан с атаками на ОПЦВ, выборы во Франции 2017 г.
• Олег Осов (Oleg Osov): Участник операции в Гааге (OPCW).
• Алексей Морен (Alexey Moren): Участник операции в Гааге.
• Евгений Серебряков (Evgeny Serebryakov): Участник операции в Гааге.
• Анатолий Ковалев (Anatoly Kovalev): Обвиняемый США в ходе операции по взлому ДНК.
• Сергей Морозов (Sergey Morozov): Обвиняемый США (псевдоним «Guccifer 2.0» ассоциируется с группой).

Примечание: Имена приводятся на основе открытых обвинений и расследований. Россия официально не признает причастность данных лиц к кибератакам.

Взаимосвязь с в/ч 26165 (ЦСС ГУ ГШ)

В открытых источниках часто прослеживается тесная работа двух основных киберподразделений ГРУ:

• в/ч 26165 (Центр специальных служб / ЦСС): Традиционно ассоциируется с группой APT29 (Cozy Bear / Nobelium / The Dukes). Фокус: стратегическая разведка, долгосрочное присутствие, высокотехнологичные операции (SolarWinds).
• в/ч 61230 (ГЦСТ): Ассоциируется с APT28 (Fancy Bear). Фокус: тактические операции, более «шумные» атаки, разрушительная активность, операции влияния, физическая разведка (ближний контакт).

Однако границы размыты: используются общая инфраструктура, общие эксплойты (через единый центр разработки) и координируются операции.

Правовой и политический статус

• Санкции: В/ч 61230 (ГЦСТ) и её офицеры находятся под санкциями США (OFAC), ЕС, Великобритании, Канады, Австралии, Японии и других стран за кибератаки, вмешательство в выборы и дестабилизацию.
• Обвинительные акты США (DOJ): В 2018 и 2020 годах были предъявлены обвинения к офицерам в/ч 61230 по статьям о заговоре для совершения компьютерного мошенничества, краже идентичности, взломе и шпионаже.
• Позиция РФ: Российская сторона последовательно отрицает причастность к кибератакам, называет обвинения «недоказуемыми», «политически мотивированными» и «русскофобными». Обычно заявляется, что в России нет государственных кибератак, а киберпреступность преследуется по закону.

Военная часть 61230 (ГЦСТ ГУ ГШ ВС РФ) представляет собой один из самых активных, агрессивных и технологично развитых государственных киберакторов в мире. Её деятельность охватывает весь спектр: от классического шпионажа и сбора разведданных до деструктивных атак на критическую инфраструктуру и операций информационного противоборства. Несмотря на публичные обвинения, санкции и раскрытие инфраструктуры, подразделение демонстрирует высокую устойчивость, способность к быстрой смене инструментов и инфраструктуры (ORB-сети) и продолжению операций в интересах российского руководства.

Статья подготовлена на основе открытых отчетов: US DOJ Indictments (2018, 2020), Joint Cybersecurity Advisories (CISA/NSA/FBI/NCSC-UK/CCCS/ACSC/NCSC-NZ/CERT-EU), отчеты Mandiant, CrowdStrike, Microsoft Threat Intelligence, ESET, Volexity, Recorded Future, Google TAG (Mandiant), расследования Bellingcat / The Insider / Der Spiegel.