Воинская часть 61535 (в/ч 61535) — это одном из самых известных и обсуждаемых подразделений Главного разведывательного управления (ГРУ) Генерального штаба Вооруженных сил Российской Федерации. В открытых источниках‚ расследованиях международных журналистских консорциумов (Bellingcat‚ The Insider‚ Der Spiegel) и официальных актах западных государств эта часть идентифицируется как Главный центр специальных технологий (ГЦСТ).

Ее основная специализация, киберразведка‚ компьютерные сетевые операции (CNO)‚ разработка вредоносного ПО и проведение информационно-психологических операций. В отличие от «традиционных» спецназа (например‚ в/ч 45707 или 28157)‚ бойцы 61535-й части ведут войну не на физическом поле боя‚ а в цифровом пространстве.

Официальный статус и подчинение

• Полное наименование: Главный центр специальных технологий Главного разведывательного управления Генерального штаба ВС РФ.
• Номерной знак: 61535.
• Подчинение: Прямое подчинение Начальнику ГРУ (заместителю Начального Генерального штаба).
• Профиль: Сигнальная разведка (SIGINT)‚ кибершпионаж‚ саботаж критической инфраструктуры‚ дезинформация.

Часть является аналогом таких подразделений‚ как NSA (США) или GCHQ (Великобритания) по функционалу‚ но с сильным акцентом на наступательные операции (Computer Network Attack / Exploitation) в интересах российской геополитики.

Дислокация и инфраструктура

Согласно данным открытых реестров и расследований (в частности‚ Bellingcat)‚ основной гарнизон в/ч 61535 расположен в:

Московская область‚ г. Химки‚ ул. Комсомольская‚ д. 20 (или д. 22/24 вблизи).

На территории объекта расположены серверные парки‚ лаборатории по реверс-инжинирингу‚ отделы разработки эксплойтов и штабы оперативного управления ботами и прокси-сетями. Также известно существование развернутых пунктов и «полевых» команд в других регионах РФ для обеспечения отказоустойчивости и анонимности трафика.

Ключевые направления деятельности

Кибершпионаж (APT-активность)

В терминологии кибербезопасности в/ч 61535 ассоциируется с группировкой APT28 (также известной как Fancy Bear‚ Sofacy‚ Strontium‚ Sednit‚ Pawn Storm). Основные цели:

• Правительственные ведомства стран НАТО и ЕС.
• Военно-промышленные комплексы и НИИ.
• Международные организации (ОПЦВ‚ МАГАТЭ‚ WADA‚ МОК).
• Политические партии‚ фонды и медиа (особенно в преддверии выборов).
• Энергетическая и транспортная инфраструктура.

Разработка вредоносного ПО и эксплойтов

Специалисты части создают и поддерживают арсенал инструментов для:

1. Первоначального доступа: Спир-фишинг‚ эксплуатация 0-day уязвимостей (Exchange‚ VPN-шлюзы Pulse Secure‚ Fortinet‚ Cisco).
2. Периметра и повышения привилегий: Использование Mimikatz‚ собственных лоадеров (X-Agent‚ X-Tunnel‚ Zebrocy‚ Cannon).
3. Устойчивости: Прошивки UEFI/BIOS (LoJax)‚ веб-шеллы (China Chopper модификации).
4. Эксфильтрации: Скрытые туннели через DNS‚ HTTP/HTTPS‚ облачные сервисы (OneDrive‚ Google Drive‚ Dropbox API).

Разрушительные операции (Wiper-атаки)

В отличие от чистого шпионажа‚ 61535-я часть неоднократно применяла вредоносное ПО для уничтожения данных:

• NotPetya (2017): Самая дорогая кибератака в истории (ущерб >$10 млрд)‚ замаскированная под вымогателя‚ но по сути — вируса-убийцы (wiper)‚ направленного против Украины‚ но поразившего Maersk‚ Merck‚ FedEx и др.
• Olympic Destroyer (2018): Атака на ИТ-инфраструктуру Зимних Олимпийских игр в Пхенчхане.
• WhisperGate (2022): Атаки на украинские госорганы накануне полномасштабного вторжения.

Информационно-психологические операции (ИПСО)

Часть управляет сетями ботов‚ тroll-фабриками и фейковыми новостными порталами для:

• Дискредитации оппонентов (например‚ кампания против WADA после допингового скандала).
• Влияния на выборы (США 2016‚ Франция 2017‚ Германия и др.).
• Продвижения нарративов‚ выгодных Кремлю (война в Сирии‚MH17‚ Скрипали‚ война в Украине).

Известные оперативные подразделения (внутри части)

По данным обвинений Министерства юстиции США (2018‚ 2020‚ 2022 гг.) и расследований‚ внутри в/ч 61535 выделяют отдельные «отряды» или группы с собственными номерами:

Главные инциденты‚ приписываемые в/ч 61535 (APT28)

1. 2015 г.: Взлом Бундестага (Немецкий парламент).
2. 2015–2016 гг.: Взлом ТВ5Монд (Франция) с последующей дезинформацией от лица «ИГИЛ».
3. 2016 г.: Взлом ДНК (Национальный демократический комитет США)‚ утечка писем через Guccifer 2.0 и DCLeaks — вмешательство в выборы президента США.
4. 2016 г.: Хак WADA (Всемирное антидопинговое агентство), публикация медицинских данных спортсменов (Фада‚ Бильс‚ Венис Уис).
5. 2017 г.: Атака NotPetya (вместе с в/ч 74455).
6. 2018 г.: Попытка взлома ОПЦВ (Гаага) через Wi-Fi-спуфинг (задержаны 4 офицера ГРУ).
7. 2018 г.: Olympic Destroyer (Пхенчхан).
8. 2019–2021 гг.: Кампании Brute Force (брутфорс паролей) против правительств‚ военных и компаний по всему миру (использование ботнета GTsock).
9. 2022 г. – настоящее время: Масштабные кибератаки на Украину (WhisperGate‚ Industroyer2‚ CaddyWiper)‚ атаки на спутниковую сеть Viasat (KA-SAT) в первый день войны‚ шпионаж за странами НАТО‚ поставляющими оружие Украине.

Международные санкции и правовые последствия

Деятельность в/ч 61535 привела к беспрецедентным санкционным пакетам:

• США (OFAC‚ DoJ‚ FBI): Внесены в SDN-лист сами части (61535‚ 26165‚ 74455)‚ ГРУ как организация‚ десятки конкретных офицеров (Дмитрий Бадин‚ Иван Ермаков‚ Алексей Моренец‚ Олег Микольцев и др.). Объявлены награды до $10 млн за информацию (Program Rewards for Justice).
• ЕС: Санкции против ГРУ‚ в/ч 61535‚ конкретных офицеров (включая командующих) за атаки на ОПЦВ‚ выборы‚ NotPetya.
• Великобритания (NCSC‚ FCDO): Официальные заявления о причастности GRU Unit 74455 (Sandworm) и 26165 к атакам. Санкции против офицеров.
• Нато и партнеры: Коллективные заявления о злонамеренной киберактивности РФ с прямым указанием на ГРУ и в/ч 61535.

Важно: В 2020 и 2022 годах Гранд-жюри США выдвинуло официальные обвинения (indictments) против офицеров в/ч 74455 и 26165‚ детально описав их имена‚ позывные‚ IP-адреса‚ инфраструктуру (VPN‚ VPS‚ домены) и методы оплаты (криптовалюта‚ WebMoney). Это деанонимизировало сотни операций.

Командный состав (по открытым данным)

Точная структура классифицирована‚ однако в открытых источниках и санкционных листах фигурируют:

• Начальник ГЦСТ (Командир в/ч 61535): Долгое время считался Генерал-лейтенант Сергей Морозов (по данным Bellingcat/Insider)‚ позже — возможно‚ смена кадров.
• Замначальника / Командиры отрядов: Полковники/Подполковники‚ управляющие конкретными направлениями (в/ч 26165‚ 74455). Известны имена: Дмитрий Бадин (позывной «Карате»‚ командир в/ч 26165)‚ Олег Микольцев (командир в/ч 74455/Sandworm).

Тактика‚ техники и процедуры (TTPs) — MITRE ATT&CK

Активность в/ч 61535 покрывает почти всю матрицу MITRE ATT&CK. Ключевые отличительные черты:

• Initial Access (T1190‚ T1566): Массовое сканирование и эксплуатация 0-day/1-day в VPN‚ Exchange‚ SharePoint; таргетированный спир-фишинг с доменами-ложью (typosquatting).
• Credential Access (T1003‚ T1555): Агрессивный дамп LSASS‚ сбор паролей из браузеров‚ Kerberoasting.
• Lateral Movement (T1021‚ T1550): Pass-the-Hash/Ticket‚ SMB/WMI‚ RDP‚ использование легитимных админских инструментов (PsExec‚ WMI‚ PowerShell Remoting).
• Command & Control (T1071‚ T1573): Шифрованные каналы (TLS)‚ домен-генерация (DGA)‚ использование легитимных облаков (API OneDrive‚ GitHub‚ Twitter/Dead drop resolver).
• Defense Evasion (T1027‚ T1070‚ T1562): Обфускация PowerShell‚ таймстампинг‚ отключение дефендеров/EDR‚ чистка логов (wevtutil‚ auditpol).
• Impact (T1485‚ T1489‚ T1491): Шифрование/уничтожение данных (Wiper)‚ перезапись MBR/GPT‚ отключение UPS/климатических систем в дата-центрах.

Значение для национальной безопасности РФ и угрозы для Запада

В/ч 61535 является основным инструментом «гибридной войны» РФ в киберпространстве. Она позволяет:

• Получать стратегическую разведданные без риска для живого персонала.
• Наносить экономический ущерб противникам (NotPetya, пример).
• Влиять на политические процессы (выборы‚ референдумы).
• Сдерживать противодействие за счет асимметричности: атака дешева‚ защита дорога.
• Тестировать кибероружие в реальных условиях (Украина как полигон с 2014 г.).

Для Запада эта часть представляет постоянную и высококвалифицированную угрозу (Advanced Persistent Threat)‚ требующую колоссальных затрат на защиту критической инфраструктуры‚ атрибуцию атак и противодействие дезинформации.

Воинская часть 61535 (ГЦСТ ГРУ), это элитное‚ высокотехнологичное и агрессивное киберподразделение‚ которое за последнее десятилетие определило лицо современного киберконфликта. От шпионажа до деструктивных атак на физическую инфраструктуру‚ от вмешательства в выборы до сопровождения военной агрессии — спектр задач части максимален.

Несмотря на масштабную деанонимизацию офицеров и инфраструктуры западными спецслужбами (2018–2024 гг.)‚ часть продолжает адаптироваться: меняет инфраструктуру‚ внедряет новые техники обхода защиты‚ использует цепочки поставок (Supply Chain) и расширяет арсенал виперов. Понимание структуры‚ TTPs и истории в/ч 61535 является обязательным требованием для любого SOC-центра‚ CERT-а или аналитика угроз‚ защищающего интересы демократических государств и критической инфраструктуры.

Ключевые термины для поиска (OSINT / Threat Intel):

APT28‚ Fancy Bear‚ Sofacy‚ Strontium‚ Sednit‚ Pawn Storm‚ GRU Unit 26165‚ GRU Unit 74455‚ Sandworm‚ Voodoo Bear‚ NotPetya‚ Olympic Destroyer‚ Industroyer‚ WhisperGate‚ Guccifer 2.0‚ DCLeaks‚ X-Agent‚ X-Tunnel‚ Zebrocy‚ LoJax‚ GTsock.