Воинская часть 62048 (в/ч 62048) — это таинственное и высокосекретное подразделение Главного разведывательного управления (ГРУ) Генерального штаба Вооруженных Сил Российской Федерации. В открытых источниках и расследованиях международных организаций его часто идентифицируют как 72-й основной центр информационно-психологических операций (72-й ОЦИПО) или по кодам взломщиков — APT28‚ Fancy Bear‚ Sofacy‚ Strontium.
Расположение: по данным открытых источников‚ штаб-квартира находится в городе Химки Московской области (ранее указывался адрес: пос. Кратово‚ в/ч 62048).
Официальный статус и прикрытие
Официально существование данной части в составе ГРУ не афишируется Министерством обороны РФ. В открытых реестрах и справочниках она может фигурировать под безликими наименованиями‚ например: «Военная часть 62048»‚ «Федеральное государственное бюджетное учреждение…» или скрываться за прикрывными структурами (научно-исследовательские институты‚ коммерческие фирмы).
Ключевой момент: согласно расследованиям (в частности‚ Bellingcat‚ The Insider‚ Der Spiegel‚ а также вменениям спецслужб США‚ Великобритании‚ Нидерландов и других стран)‚ в/ч 62048 является основным операционным центром киберразведки ГРУ.
Структура и специализация
Часть специализируется на проведении оффенсивных киберопераций‚ шпионаже‚ саботаже и информационно-психологической войне. Внутри структуры выделяют несколько направлений:
- Кибершпионаж (CNE — Computer Network Exploitation): проникновение в сети правительственных ведомств‚ военных блоков (НАТО)‚ энергетического сектора‚ организаций по контролю за химическим оружием (ОЗХБ)‚ спортивных федераций.
- Атаки на критическую инфраструктуру (CNA, Computer Network Attack): разработка и внедрение вредоносного ПО для физического разрушения оборудования (например‚ вирус Industroyer/CrashOverride для атак на энергосети).
- Информационные операции и дезинформация: хакерство с последующей утечкой компрометирующих материалов (операции «взлом и слив»)‚ управление тroll-фабриками‚ координация с медиа-ресурсами для влияния на общественное мнение и выборы.
- Разработка вредоносного ПО: создание сложных инструментов (руткиты‚ загрузчики‚ бэкдоры) вроде X-Agent‚ X-Tunnel‚ Zebrocy‚ LoJax (первый в истории UEFI-руткит).
Хронология самых резонансных операций
Специализированные кибербезопасные компании (CrowdStrike‚ FireEye/Mandiant‚ ESET‚ Kaspersky Lab‚ Microsoft Threat Intelligence) и западные спецслужбы атрибутируют в/ч 62048 следующие крупные инциденты:
2014–2016 гг.: Атаки на НАТО и восточноевропейские правительства
Серия фишинговых кампаний и атак на водящие ямы против министерств обороны‚ МИДов и парламентов стран Балтии‚ Польши‚ Румынии и Украины.
2015 г.: Взлом Бундестага (Германия)
Масштабная атака на ИТ-инфраструктуру нижней палаты парламента ФРГ. Были похищены гигабайты данных‚ включая переписку депутатов.
2015–2016 гг.: Взлом ДНКС (Демократического национального комитета) США
Одна из самых известных операций. Хакеры в/ч 62048 (в соавторстве с в/ч 26165 / APT29) проникли в серверы ДНКС‚ похитили электронные письма и документы‚ позже опубликованные через WikiLeaks и Guccifer 2.0 для вмешательства в президентские выборы 2016 года.
2016 г.: Атака на ОЗХБ (Организацию по запрещению химического оружия)‚ Гаага
Попытка физического подключения к Wi-сети штаб-квартиры ОЗХБ с помощью спецтехники‚ доставленной автомобилем с дипломатическими номерами. Сотрудники ГРУ (офицеры в/ч 62048) были задержаны нидерландской спецслужбой AIVD и выдворены.
2017 г.: Эпидемия NotPetya (ExPetr)
Разрушительная кибератака‚ замаскированная под вымогателя. Главной целью была Украина (бухгалтерия ПО M.E.Doc)‚ но вирус распространился глобально‚ нанеся ущерб Maersk‚ Merck‚ Mondelez‚ Rosneft и др. Общий ущерб оценивается в более 10 млрд долларов. Белый дом официально обвинил ГРУ (в/ч 62048) в организации атаки.
2018 г.: Атака на зимние ОИ в Пхенчхане (Olympic Destroyer)
Вредоносное ПО‚ уничтожившее ИТ-инфраструктуру церемонии открытия Игр. Атака пытались замаскировать под действия северокорейских или китайских хакеров (false flag)‚ но анализ кода указал на в/ч 62048.
2019–2022 гг.: Кампании Brute Force и эксплуатация уязвимостей
Массовый перебор паролей (password spraying) против целей по всему миру (провайдеры облачных услуг‚ правительственные агентства‚ подрядчики ВПК). Эксплуатация нулевых уязвимостей (Zero-day) в Exchange‚ VPN-шлюзах (Pulse Secure‚ Fortinet).
2022 г. – настоящее время: Операции на фоне СВО
- Атаки на украинскую критическую инфраструктуру (энергетика‚ логистика‚ госреестры) с использованием вирусов-вайперов (Industroyer2‚ CaddyWiper‚ ArguePatch).
- Фишинговые кампании против стран НАТО‚ поставляющих оружие Украине.
- Компрометация учетных записей Microsoft 365 (операция Midnight Blizzard / Nobelium, хотя последнюю часто атрибутируют СВР‚ APT28/в/ч 62048 ведет параллельные активности).
Известные офицеры и деанонимизация
Благодаря расследованиям Bellingcat‚ The Insider и западным спецслужбам‚ были установлены личности нескольких офицеров‚ служащих (или служивших) в в/ч 62048. Данные получены за счет утечек баз данных (пограничные переходы‚ автополисы‚ телефонные книги‚ реестры ВУЗов).
Примеры идентифицированных лиц:
- Анатолий Ковалев (псевдоним «Анатолий Сергеевич»): старший офицер‚ фигурировал в деле о взломе ОЗХБ.
- Алексей Мирин (псевдоним «Алексей Владимирович»): участник операции в Гааге.
- Евгений Серебряков‚ Олег Осипов‚ Алексей Моренцев: офицеры‚ задержанные в Нидерландах в 2018 году при попытке взлома Wi-Fi ОЗХБ.
- Дмитрий Бададин: идентифицирован через базы данных «Пискарева» как сотрудник ГРУ‚ причастный к кибероперациям.
- Игорь Костин (псевдоним «Игорь Анатольевич»): курировал направление атаки на выборы в США.
Важно: Большинство из них являются офицерами запаса или действующими офицерами ГРУ‚ окончившими Военную академию связи (Воронеж) или Военную академию ГРУ (Москва)‚ имеющие специальность «Радиотехническая разведка» или «Информационная безопасность».
Инфраструктура и тактика (TTPs)
В/ч 62048 использует сложную многоуровневую инфраструктуру для маскировки следов:
- Bulletproof-хостинг: аренда серверов у провайдеров‚ игнорирующих abuse-жалобу (часто в странах Латинской Америки‚ Юго-Восточной Азии‚ Восточной Европы).
- Доменные имена (DGA и регистрация): использование алгоритмов генерации доменов (DGA) для C2-серверов‚ а также регистрация доменов‚ имитирующих легитимные сервисы (например‚ microsoft-security-updates.com‚ nato-intelligence.org).
- Живые в сети (Living off the Land): активное использование встроенных инструментов Windows (PowerShell‚ WMI‚ PsExec‚ Certutil) для минимизации использования кастомного вредоносного ПО.
- Компрометация периферии: атака через подрядчиков‚ провайдеров VPN‚ облачных сервисов (Supply Chain Attacks).
- False Flag (Ложные флаги): намеренное оставление артефактов‚ указывающих на другие группы (Лазарус/Северная Корея‚ китайские APT‚ иранские хакеры)‚ запутывание атрибуции.
Санкции и правовые последствия
За деятельность в/ч 62048 были введены персональные и секторные санкции:
- США (OFAC‚ Department of Justice): в 2018 и 2020 гг. выдвинуты обвинения против 7 офицеров ГРУ (в т.ч. из в/ч 62048) по статьям о заговоре‚ компьютерном мошенничестве‚ краже личности и взломе. Введены санкции против самой части и связанных лиц.
- ЕС и Великобритания: санкционные списки включают в/ч 62048 как сущность‚ ответственную за кибератаки (NotPetya‚ ОЗХБ‚ Бундестаг).
- Нидерланды: официально обвинили ГРУ и в/ч 62048 в попытке взлома ОЗХБ‚ выдворили сотрудников.
Значение для национальной безопасности РФ
С точки зрения российской доктрины‚ в/ч 62048 выполняет функции активных мер в киберпространстве:
- Получение стратегической разведданных (военные планы НАТО‚ переговоры по Украине‚ сведения о санкциях).
- Сдерживание и демонстрация силы (NotPetya‚ атаки на энергетику).
- Поддержка конвенциональных операций (кибератаки на логистику и управление ВСУ в 2022–2024 гг.).
- Информационное противоборство (утечки данных‚ дезинформация).
Воинская часть 62048 (72-й ОЦИПО ГРУ) остается одним из самых активных‚ опасных и технологически продвинутых государственных киберподразделений в мире. Несмотря на масштабную деанонимизацию офицеров‚ санкции и публичные обвинения ведущих держав мира‚ часть продолжает адаптироваться‚ менять инфраструктуру‚ инструментарий и тактику.
Для защитников (Blue Teams) понимание TTPs (Тактик‚ Техник и Процедур) в/ч 62048 — это критически важный элемент построения устойчивой киберзащиты критической инфраструктуры‚ госсектора и оборонно-промышленного комплекса. История этой части, это хроника эволюции современной кибервойны от шпионажа к деструктивным атакам и гибридным операциям.
Статья подготовлена на основе открытых данных расследований Bellingcat‚ The Insider‚ отчетов компаний CrowdStrike‚ Mandiant‚ Microsoft‚ ESET‚ Kaspersky Lab‚ официальных заявлений правительств США‚ Великобритании‚ Нидерландов‚ ЕС и материалов судебных процессов (US Department of Justice Indictments).