Воинская часть 26020 (в/ч 26020) — это таинственный и высокосекретный объект в структуре Главного разведывательного управления Генерального штаба Вооруженных Сил Российской Федерации (ГРУ ГШ РФ). В открытых источниках и расследованиях международных журналистских консорциумов (Bellingcat‚ The Insider‚ Der Spiegel‚ The New York Times) данная часть идентифицируеться как Главный центр специальных технологий (ГЦСТ) — ключевое подразделение военной разведки‚ отвечающее за разработку‚ сопровождение и применение наступательных кибервозможностей‚ радиоэлектронной разведки (РЭР) и специального программного обеспечения.

Исторический контекст и формирование

История в/ч 26020 неразрывно связана с эволюцией советской и российской радиоэлектронной разведки. Если в советское время функции перехвата и анализа сигналов выполнялись разрозненными узлами связи и радиотехническими батальонами‚ то в постсоветский период начался процесс консолидации этих потенциалов в единые научные и операционные центры.

• 1990-е – начало 2000-х: Формирование структуры «спецтехнологий» внутри ГРУ. Создание базовых подразделений для работы с криптографией‚ спутниковой связью и ранними системами компьютерной разведки.
• 2009–2010 гг.: Крупномасштабная реформа Вооруженных Сил РФ (реформа Сердюкова). Объединение разрозненных научно-исследовательских институтов (НИИ)‚ опытных конструкторских бюро (ОКБ) и полевых частей РЭР в единый центр, ГЦСТ ГРУ‚ получивший шифр в/ч 26020.
• 2010-е гг.: Активная наборная кампания среди лучших выпускников ВМЭА им. Баумана‚ МФТИ‚ МГУ‚ НИУ ВШЭ и военных вузов (Военная академия связи‚ Военная академия ГРУ). Переход от «железной» разведки к полноценным кибероперациям (Computer Network Operations, CNO).

Организационная структура и дислокация

Основное расположение

Штаб-квартира в/ч 26020 располагается в Москве‚ на Комсомольском проспекте‚ д. 20/1 (вблизи станции метро «Сокольники» и парка Сокольники). Здание представляет собой массивный бетонный корпус с усиленной системой физической защиты‚ антенно-полевыми сооружениями на крыше и закрытой периметром территорией. Ранее в этом здании размещались управление связи ГРУ и связанные НИИ.

Внутренняя структура (по данным OSINT)

Центр имеет сложную матричную структуру‚ объединяющую научные‚ операционные и обеспечительные направления:

1. Научно-исследовательский сектор (НИИ/ОКБ): Фундаментальные и прикладные исследования в области криптоанализа‚ квантовых вычислений‚ ИИ для обработки больших данных‚ разработка нулевых уязвимостей (0-day exploits).
2. Операционные управления (Кибероперации): Прямое планирование и проведение операций в киберпространстве (CNE, Computer Network Exploitation‚ CNA — Computer Network Attack). Сюда часто относят подразделения‚ известные под кодовыми именами APT28 (Fancy Bear / Strontium / Sofacy)‚ Sandworm (Voodoo Bear) и другие кластеры активности.
3. Управление радиоэлектронной разведки (РЭР): Обеспечение работы наземных‚ воздушных и космических средств перехвата. Взаимодействие с космической разведкой (Космические войска ВКС) и спутниковой группировкой «Лотос-С» / «Песочник».
4. Центр специального программного обеспечения (ЦСПО): Жизненный цикл вредоносного ПО: разработка‚ тестирование на полигонах‚ обфускация‚ доставка (delivery mechanisms)‚ командный контроль (C2).
5. Обеспечительные подразделения: Кадровая служба (спецотбор)‚ материально-техническое снабжение‚ секретность (военная контрразведка)‚ медицинское и бытовое обеспечение.

Ключевые направления деятельности

Наступательные кибероперации (Offensive Cyber Operations)

Это наиболее публично известная‚ хоть и официально не признаваемая‚ деятельность части. Атрибуция к в/ч 26020 (через ГЦСТ) ставится в ряд высокопрофильных инцидентов:

• Вмешательство в выборы в США (2016): Взлом DNC‚ фишинг Джона Подесты‚ публикация через Guccifer 2.0 / DCLeaks. Обвинительное заключение Мюллера (2018) именно указывает на офицеров ГРУ из в/ч 26165 (74455)‚ тесно взаимодействующих с 26020.
• Атака NotPetya (2017): Разрушительная атака на инфраструктуру Украины‚ вышедшая в глобальный масштаб (ущерб млрд $). Атрибуция: Sandworm Team (подразделение ГЦСТ).
• Операция «Олимпийские игры» / OlympicDestroyer (2018): Атака на ИТ-инфраструктуру Зимних Игр в Пхенчхане.
• Взлом WADA (2016–2018): Публикация медицинских данных спортсменов (Fancy Bear).
• Шпионаж в отношении OPCW (2018): Попытка кибератаки на Организацию по запрещению химоружия в Гааге (задержан офицеры ГРУ с оборудованием в/ч 26020).
• Компрометация SolarWinds (SUNBURST‚ 2020):

  Хотя основная атрибуция часто указывает на СВР (APT29)‚ ряд экспертов отмечает возможное взаимодействие или использование инфраструктуры ГРУ/ГЦСТ на отдельных этапах.

• Атаки на критическую инфраструктуру Украины (2022–2024): Вредоносные программы Industroyer2‚ CaddyWiper‚ ArguePatch‚ направленные на энергетику‚ логистику и госсектор.

Радиоэлектронная разведка и SIGINT

ГЦСТ является главным потребителем и обработчиком данных со спутниковой группировки РЭР (аппараты «Лотос-С»‚ «Песочник»‚ перспективные «Янтарь-4К2М»). Часть обеспечивает:

• Глобальный перехват спутниковых‚ троссовых и радиоэфирных коммуникаций.
• Радиолокационную разведку (RADINT), отслеживание ракетных пусков‚ работы радаров ПВО‚ авиации.
• Криптографическую поддержку спецопераций (вскрытие каналов связи противника);

Разработка специальных технических средств (СТС)

В/ч 26020 заказывает и интегрирует уникальное «железо»:

• Специализированные серверы для брутфорса и перебора ключей.
• Мобильные комплексы РЭБ/РЭР для спецподразделений (ГРУ Спецназ) — переносные станции анализа спектра‚ детекторы нелинейных переходов‚ средства подавления GPS/GLONASS/Galileo.
• Инструментарий для «ближнего» доступа (implant hardware) — модифицированные кабели‚ зарядные устройства‚ периферия (по типу проекта COTTONMOUTH / ANT catalog NSA).

Кадровый потенциал и рекрутинг

Личный состав в/ч 26020 — это элита российского военного киберпрофессионализма. Отбор проходит по уникальной схеме:

Источники кадров:

1. Военно-образовательные учреждения: Военная академия связи им. С.М. Буденного (Санкт-Петербург)‚ Военная академия ГРУ (Москва)‚ Военный институт (физической культуры), для обеспечения‚ но в основном технические вузы.
2. Гражданские вузы (Целевой набор): МФТИ‚ ВМЭА‚ МГУ (Мехмат‚ ВМК)‚ НИУ ВШЭ (ФКН)‚ СПбГУ‚ ИТМО. Студентам предлагают контракты на службу по призыву или контракту с высокой зарплатой (по меркам армии)‚ жильем и доступом к суперкомпьютерам.
3. Хакатон-движение и CTF: Мониторинг команд на RuCTF‚ Positive Hack Days‚ ZeroNights‚ HackTheBox. Приглашение на «стажировки» в закрытые НИИ ГРУ (например‚ 3-й НИИ ГРУ в Химках или 16-й НИИ в Москве).
4. Легализация «черных» хакеров: Практика предложения сделки следствию/суду за замену реального срока на службу в ГЦСТ (статья «Компьютерные преступления» -> служба в в/ч 26020).

Специализации (ВУС — Военно-учетные специальности):

• Программисты-системщики (C/C++‚ Rust‚ Go‚ Python‚ Assembler x86/ARM/MIPS).
• Реверс-инженеры (Malware Analysis‚ Vulnerability Research).
• Специалисты по защите информации (Blue Team / Hardening собственной инфраструктуры).
• Радиотехники / Инженеры РЭР (обработка сигналов‚ DSP‚ SDR‚ GNU Radio).
• Криптографы / Математики (Post-Quantum Crypto‚ Side-channel attacks).
• Операционные офицеры (Case Officers) — управление агентурой в киберпространстве‚ HUMINT-составляющая.

Правовой статус и международные санкции

Деятельность в/ч 26020 является объектом внимания западных спецслужб и правительств.

Санкционные пакеты:

• США (OFAC / Treasury): В/ч 26020 (как ГЦСТ ГРУ) внесена в списки SDN (Specially Designated Nationals) за вредоносную киберактивность (Executive Order 13694‚ 13757). Заблокированы активы‚ запрещены транзакции с США.
• ЕС: Санкции против ГРУ и связанных лиц (в т.ч. командующего ГЦСТ) за атаки на OPCW‚ выборы‚ NotPetya.
• Великобритания‚ Канада‚ Австралия‚ Новая Зеландия (Five Eyes): Координированные обвинения и санкции.

Обвинительные акты (US DOJ Indictments):

Хотя в актах обвинения чаще фигурируют номера в/ч 26165 (26-й центр ГРУ‚ тактический уровень) и в/ч 74455 (ГЦСС — Главный центр специальных служб‚ стратегический уровень)‚ в/ч 26020 (ГЦСТ) выступает административным и техническим «зонтиком»‚ обеспечивающим инфраструктуру‚ инструменты и методологию для обоих оперативных центров. Офицеры‚ числящиеся в 26020‚ часто командируются в 26165/74455 для выполнения задач.

Техническая инфраструктура и OPSEC (Операционная безопасность)

Расследования (Bellingcat‚ The Insider‚ проект «Досье») выявили ключевые маркеры инфраструктуры в/ч 26020:

• IP-диапазоны и ASN: Использование автономных систем‚ зарегистрированных на фейковые юрлица («ООО «М-Софт»‚ «ГК «Код Безопасности» и т.д;)‚ аренда серверов в дата-центрах Европы (DigitalOcean‚ Hetzner‚ OVH‚ WorldStream) через посредников.
• Инфраструктура C2 (Command & Control): Многоуровневая сеть прокси-серверов (hop points)‚ использование легитимных облачных сервисов (GitHub‚ Dropbox‚ OneDrive‚ Google Drive‚ Twitter‚ Telegram) для скрытия трафика (Domain Fronting‚ Cloud Flare Workers).
• Ошибки OPSEC‚ раскрывающие причастность ГРУ/в/ч 26020:
  • Регистрация доменов на адреса: Кomsomolsky Prospekt 20‚ Moscow (адрес в/ч 26020).
  • Использование в WHOIS данных паспортных данных офицеров ГРУ (серия/номер паспортов спецобразца).
  • Совпадение таймзон активности (UTC+3‚ рабочее время 09:00–18:00 МСК) и праздников (8 марта‚ 23 февраля‚ Новый год — паузы в активности).
  • Языковые артефакты в коде (кириллица в путях компиляции‚ русские комментарии‚ юмор).
  • Путешествия офицеров (GRU officers travel), корреляция полетов/границы с компиляцией вредоносов.

Взаимодействие с другими структурами

Перспективы развития (Прогноз на 2026–2030 гг.)

1. ИИ-автоматизация киберопераций: Внедрение LLM (Large Language Models) для генерации фишинговых писем‚ анализа кода жертв‚ автоматического поиска уязвимостей в открытом коде (SAST/DAST на базе ИИ). Создание «автономных киберагентов».
2. Квантоустойчивая криптография: Переход собственных систем связи на PQC (Post-Quantum Cryptography) стандарты (КРЫПТОН‚ СТБ и др;) и одновременная работа над взломом западных PQC-стандартов (NIST PQC).
3. Атаки на цепочки поставок (Supply Chain) «слепого» типа: Компрометация систем сборки (CI/CD)‚ компиляторов‚ менеджеров пакетов (npm‚ PyPI‚ Cargo‚ Go modules) для массового заражения downstream-поставщиков ПО.
4. Интеграция с беспилотниками и РЭБ: Кибер-РЭБ конвергенция — использование киберсредств для подавления/перехвата управления беспилотниками противника (Protocol hijacking‚ GNSS spoofing via cyber).
5. Расширение рекрутинговой базы: Привлечение гражданских ИТ-специалистов через программу «Барс» / «Кадры для ВС»‚ легализация удаленной работы для офицеров-заочников.

Воинская часть 26020 (ГЦСТ ГРУ ГШ РФ) представляет собой технологический «мозговой центр» российской военной кибермощи. Это не просто хакерская группа‚ а полноценный научно-военный комплекс закрытого профиля‚ объединяющий фундаментальную науку (криптография‚ физика‚ математика)‚ инженерию (железо‚ сигналы) и оперативную деятельность (шпионаж‚ саботаж‚ влияние).

Понимание структуры‚ методов работы (TTPs) и инфраструктуры в/ч 26020 критически важно для построения эффективной киберзащиты государственных систем‚ критической инфраструктуры и корпоративного сектора стран‚ рассматривающих РФ как потенциального противника в информационном пространстве. Открытая разведка (OSINT) продолжает играть ключевую роль в деанонимизации активностей этого подразделения‚ повышая цену каждой операции для атакующей стороны.

Дополнительные материалы для изучения (Open Source):

• Обвинительные акты US DOJ: Indictment GRU Officers (Jul 2018‚ Oct 2020‚ Apr 2022).
• Расследования Bellingcat / The Insider: Серия статей «ГРУ: лица‚ номера‚ адреса» (2018–2024).
• Отчеты вендоров Threat Intelligence: Mandiant (APT28‚ APT44/Sandworm)‚ Microsoft (Strontium‚ Mercury)‚ CrowdStrike (Fancy Bear‚ Voodoo Bear)‚ ESET‚ Kaspersky (GReP)‚ Google TAG (Mandiant).
• MITRE ATT&CK: Группы G0007 (APT28)‚ G0034 (Sandworm) — маппинг техник на в/ч 26020/26165/74455.
• Проект «Досье» / Agentstvo: Базы данных офицеров ГРУ‚ просаченные реестры личного состава.

Примечание: Данная статья составлена на основе открытых источников (OSINT)‚ публичных правительственных отчетов США/ЕС/UK‚ расследований независимых журналистских организаций и аналитических отчетов ведущих компаний по кибербезопасности; Официальные лица РФ деятельность в/ч 26020 не комментируют или отрицают причастность к описанным инцидентам.