По следам офицеров ГРУ: новые детали в «деле русских хакеров»

Как «работают» математики на казарменном положении.

Радио Свобода публикует результаты собственного расследования о "12 офицерах ГРУ", которым 13 июля были предъявлены официальные обвинения во взломе компьютеров представителей Демократической партии США.

13 июля в США Большое федеральное жюри присяжных утвердило обвинения в адрес 12 российских граждан, которых следствие по делу о вмешательстве России в американские президентские выборы считает виновными в организации кибератак на компьютеры представителей Демократической партии во время предвыборной кампании 2016 года. В обвинительном заключении перечислены имена и фамилии обвиняемых, которые названы "сотрудниками ГРУ", перечислены номера войсковых частей, к которым они были приписаны, а также сравнительно подробно описаны методы взлома компьютеров и публикации полученных в результате хакерской атаки данных. В открытых источниках не так много информации о 12 обвиняемых и их воинских частях, но кое-что узнать все-таки можно. Один из обвиняемых в 2014 году участвовал в конференции для хакеров, посвященной "слежке, взлому и национальным особенностям кибервойны", объект "Башня", из которого, по версии США, осуществлялись атаки, связан с основателем движения "Антимайдан", а войсковая часть, предположительно занимавшаяся распространением украденных данных через сайт WikiLeaks и анонимные аккаунты в социальных сетях, имеет адрес, совпадающий с адресом в расследовании Bellingcat об офицере ГРУ Олеге Иванникове (позывной "Орион"), возможно, причастном к катастрофе "Боинга-777" Малайзийских авиалиний под Донецком.

9 из 12 человек, перечисленных в обвинительном заключении, следствие связывает с войсковой частью 26165, расположенной по адресу: Комсомольский проспект, дом 20.

Математики на казарменном положении

Этот дом – часть целого комплекса зданий Министерства обороны на территории бывших Хамовнических казарм, построенных по проекту петербургского архитектора Л. И. Руска на территории Хамовнической полотняной мануфактуры еще в начале XIX века. Официальной таблички с номерами войсковых частей, расположенных на территории, перед входом в казармы нет, но подтвердить, что часть 26165 находится по этому адресу, несложно: под ним она фигурирует в Едином государственном реестре юридических лиц. В советское время эта войсковая часть занималась дешифровкой и криптоанализом перехваченных сообщений для 6-го управления ГРУ и официально называлась "85-м главным центром специальной службы ГРУ". Сегодня, если судить по многочисленным упоминаниям в интернете, специалисты части занимаются также современными компьютерными технологиями.

Вход на территорию комплекса зданий МО РФ, где расположена войсковая часть 26165 (бюро пропусков расположено в соседнем здании бывших Хамовнических казарм по адресу Комсомольский проспект, дом 22)

Вход на территорию комплекса зданий МО РФ, где расположена войсковая часть 26165 (бюро пропусков расположено в соседнем здании бывших Хамовнических казарм по адресу Комсомольский проспект, дом 22)

Подпись командира части Виктора Борисовича Нетыкшо, первого номера в американском обвинительном заключении, стоит под договорами о сотрудничестве с рядом московских математических гимназий и лицеев – например, гимназий 1507, 1573 и 1517. Они датируются 2014 годом и подписаны лично Нетыкшо. Договоры являются типовыми и начинаются так (на примере договора с гимназией 1573, ссылка на документ .pdf, сохраненная копия):

"Институт криптографии, связи и информатики Академии ФСБ России, именуемый в дальнейшем "Академия", в лице её начальника Пичкура Андрея Борисовича, действующего на основании Доверенности 15/8/944 от 30.11.2015 года, войсковая часть 26165, именуемая в дальнейшем "Войсковая часть", в лице её командира Нетыкшо Виктора Борисовича, действующего на основании Положения Войсковой части, и ГБОУ "Школа №1573" именуемая в дальнейшем "Школа", в лице её директора А. С. Антипов, действующей на основании Устава ГБОУ "Школа № 1573", а вместе именуемые "Стороны", заключили настоящее соглашение о нижеследующем:

1. ПРЕДМЕТ СОГЛАШЕНИЯ:

1.1.Стороны обязуются сотрудничать в области подготовки обучающихся Школы к поступлению в ВУЗы технического профиля. 1.2. Целью сотрудничества Сторон по настоящему соглашению является подготовка обучающихся к поступлению в Институт криптографии, связи и информатики Академии ФСБ России и в целевые группы Войсковой части ВУЗов технического профиля".

Как следует все из того же реестра юридических лиц, Виктор Нетыкшо возглавлял в/ч 26165 до января 2018 года. В интернете можно найти множество свидетельствующих о ее профиле деятельности упоминаний, помимо договоров о сотрудничестве со школами. Например, в 2004 году военнослужащие части П. М. Коновальчик, А. И. Иванов, А. Д. Малеванчук опубликовали в журнале "Искусственный интеллект" статью под названием "Многопроцессорная система, адаптируемая под информационную структуру задач различных классов" (.pdf). Сам Нетыкшо ранее преподавал в Московском государственном университете леса (с 2016 года – филиал МГТУ им. Баумана), защитил кандидатскую диссертацию по теме "Восстановление параметров дискретных устройств, основанное на переоценке вероятностей с использованием действительных пороговых соотношений" по специальности "Математическое и программное обеспечение вычислительных машин, комплексов и компьютерных сетей". В интернете можно найти и другие его научные работы, относящиеся к периоду 2004–2008 годов, например, статью "О нейросетевом подходе к решению систем линейных неравенств" (.pdf) или "Об уточнении оценки веса произвольной пороговой функции" (.pdf). В этих публикациях он назван доцентом кафедры высшей математики МГУЛ и кандидатом технических наук. В 2004 году Нетыкшо опубликовал в журнале "Техника машиностроения" статью "О некоторых вероятностных свойствах мажоритарных функций" (.pdf).

Московский государственный институт леса, в котором преподавал Виктор Нетыкшо, ныне Мытищинский филиал Московского государственного технического университета им. Н. Э. Баумана:

Виктор Борисович Нетыкшо также участвовал в защите нескольких диссертаций в качестве оппонента: например, в сентябре 2010 года он оппонировал преподавателю Российского государственного гуманитарного университета (РГГУ) Михаилу Левыкину, защищавшему на кафедре компьютерной безопасности диссертацию на тему, связанную с защитой от компьютерных взломов: "Модели и средства выявления угроз нарушения информационной безопасности штатных механизмов обнаружения скрытых информационных воздействий в ядре операционной системы Windows" (автореферат, .pdf). Михаил Левыкин, преподающий в РГГУ на этой же кафедре по сей день, отказался беседовать с Радио Свобода о той защите или ответить на вопрос, видел ли он своего оппонента Нетыкшо на защите.

Помимо всего вышесказанного, войсковая часть 26165 уже "светилась" в истории со взломом почты западных политиков: в расследовании издания The Insider, опубликованном весной 2017 года, утверждалось, что военнослужащий части Георгий Рошка был причастен ко взлому электронного почтового ящика президента Франции Эммануэля Макрона.

До Нетыкшо, как утверждает РБК, войсковую часть 26165 возглавлял Сергей Гизунов, который уже находится в американском санкционном списке за вмешательство в выборы. Ныне Гизунов является заместителем начальника Главного управления Генштаба Минобороны (именно так после реформы 2010 года стало официально называться ГРУ). Сейчас часть 26165 возглавляет полковник Дмитрий Михайлов.

"Башня", "Аврора" и штаб-квартира ГРУ: одна войсковая часть в трех ипостасях

Несколько сложнее найти в открытых источниках достоверную информацию о войсковой части 74455, к которой, если верить утвержденному американскими присяжными обвинительному заключению, были приписаны трое из 12 обвиняемых офицеров ГРУ: Александр Осадчук, Алексей Потемкин и Анатолий Ковалёв. В различных документах, которые удалось обнаружить Радио Свобода, у нее есть два разных адреса – и ни один из них не совпадает с адресом, указанным в обвинительном заключении: Химки, улица Королева, 22, объект "Башня".

По этому адресу действительно находится башня: 21-этажный бизнес-центр "Рота", изначально строившийся рядом с футбольным стадионом ФК "Химки" как гостиница для спортивных делегаций. Именно отсюда, как утверждают американские следователи, ГРУ осуществляло как работу по взлому компьютеров (предположительно, с помощью фишинговых писем), так и распространение похищенных писем через анонимные аккаунты в соцсетях – Guccifer 2.0 и DCLeaks.

БЦ "Рота" принадлежит ООО "Рота-недвижимость", управляемому ООО "Актив стайл менеджмент". Гендиректор компании "Рота-недвижимость" – Алла Саблина (в девичестве – Налча), племянница бывшего подмосковного губернатора Бориса Громова и супруга основателя движения "Антимайдан" Дмитрия Саблина. Дмитрий Саблин – первый заместитель председателя Всероссийской общественной организации ветеранов "Боевое братство" и официальный владелец и совладелец некоторых активов "Рота-Груп", например, компании "Рота-Крым", которая владеет недвижимостью на аннексированном полуострове. Телеканал "Дождь" называл Саблина владельцем всего холдинга "Рота".

Еще одним из членов совета директоров "Рота-недвижимость" является Иван Николаевич Агеенко, бывший начальник Пограничных управлений ФСБ России по Кабардино-Балкарии и Республике Дагестан, еще один заместитель председателя "Боевого братства".

Радио Свобода не удалось каким-либо образом связать здание в Химках с войсковой частью 74455, однако можно предположить, что его собственники могли "приютить" специалистов ГРУ, – например, молодых хакеров, которых руководители операции по взлому компьютеров Демократической партии почему-либо не захотели пускать в свои "святая святых". При личной поддержке Дмитрия Саблина на "Аллее героев" в Московском высшем общевойсковом командном училище 20 мая 2018 года был открыт бюст бывшего главы ГРУ Игоря Сергуна (Сергун, по официальным данным, скончался на базе отдыха ФСБ “Москвич” в январе 2016 года, но существует версия, что он погиб в Ливане).

Номер войсковой части 74455 нечасто встречается в выдаче поисковых машин, но эти упоминания крайне интересны. Например, часть упомянута в приказе Минобороны РФ от 20 марта 2012 года, подписанном еще бывшим министром Анатолием Сердюковым. Приказ регулирует выплаты надбавок военнослужащим "за особые достижения в службе", и "хакерская часть" указана в нем в отдельной категории претендентов на поощрение вместе с двумя другими. Пункт "4" приказа гласит: "Военнослужащим войсковых частей 99450, 74455 и структурного подразделения войсковой части 29155 выплачивается ежемесячная надбавка по перечню и в размерах, утверждаемых Министром обороны Российской Федерации". Интересно, что в/ч 99450 была сформирована той же весной 2012 года, что и Командование сил специальных операций (базируется в подмосковном Сенеже), это те самые крымские "зеленые человечки". Другая часть, упомянутая в отдельном пункте приказа наряду с "хакерами", 29155, по неофициальным данным, является 161-м центром подготовки специалистов ГРУ (ГУ ГШ МО), расквартированным по адресу: Москва, ул. 11-я Парковая, д. 38а. Где именно действовали военнослужащие этой части в последние годы, Радио Свобода установить не удалось. За какие "особые достижения в службе" военнослужащие частей 74455, 99450 и 29155 получают надбавки, в тексте приказа не говорится.

Еще из одного документа, находящегося в открытом доступе, можно узнать второй возможный адрес расположения в/ч 744755. Этот документ – текст судебного решения по иску Министерства обороны к ОАО "Славянка", одному из крупнейших поставщиков услуг ЖКХ в России. Согласно решению суда, ответчик "ненадлежащим образом оказывал истцу услуги по обслуживанию казарменно-жилищного фонда военных городков", в том числе "в войсковой части 74455, расположенной по адресу: военный городок №48/1, г. Москва, ул. Свободы, д. 21/2". Есть еще одно свидетельство, связывающее часть 74455 с улицей Свободы: "Как найти адрес военной части в Москве по номеру 74455? Помогите пожалуйста", – просит пользовательница сервиса Ответы@Mail.ru. "В Москве, на улице Свободы, сам был в этой части", – отвечает один из комментаторов.

Согласно сайту Wikimapia.org, по этому адресу действительно находится военное учреждение. Создатели сайта обозначили его как "177-й отдельный центр руководства разработками техники (в/ч 40904)". Войсковая часть с этим номером расположена здесь же, правда, в соседнем доме, по адресу: ул. Мещерякова, 2. Это известно, например, из карточки государственных торгов. 177-й центр руководства разработками техники входит в структуру ГРУ (ГУ ГШ МО), это подтверждается, с одной стороны, неофициальным списком частей, входящих в военную разведку, с другой – нагрудным знаком, который можно купить по объявлению за 870 рублей:

Чем занимается часть 40904? Строительная компания "Висмут" в рекламной презентации упоминает это подразделение в связи с "Реконструкцией корпусов объекта К-200 (Генподрядные работы)". Упоминание этого объекта можно встретить в книге "Система безопасности СССР" Александра Шевякина:

"Что касается управления космической разведки ГРУ, то оно собирает разведывательные данные с помощью спутников. Управление руководит действиями ОСНАЗа – это отряды Особого Назначения, подчиняющиеся Первому и Второму отделу Шестого управления ГРУ, функции которых – радио- и радиотехническая разведка. Анализ и обработка добытой таким образом информации возложены на так называемую “систему Дозор”, которая находится в центральном здании ГРУ на Хорошевском шоссе (объект К 200)"

Другими словами, деятельность военной части 40904 на улице Свободы, по-видимому, исторически была связана с обработкой данных радио- и радиотехнической разведки (хотя сам объект К 200 находится на территории штаб-квартиры ГРУ на Хорошевском шоссе).

Что еще располагается в военном городке на улице Свободы? В комментариях на сайте Wikimapia утверждается, что там находится 28-й ЦУС (Центр управления связью) "Аврора". Вероятно, речь идет об одном из центральных узлов системы радиослежения и радиоперехвата "Круг", которая создавалась в 50-е годы в СССР для отслеживания перемещения самолетов потенциального противника, переговоров экипажей стратегических бомбардировщиков и разведывательной авиации США и стран НАТО, радиопрослушки систем спутниковой связи Комитета начальников штабов США. По-видимому, как минимум частично “Круг” действует до сих пор. Организация системы и ее действующие станции обсуждается на форуме связистов и радиолюбителей Radioscanner.ru:

"=Круг= как был, так и остался. За зданием учебной роты вч 34608 стоит памятник и 11 плит с номерами воинских частей и их наименованиями, из которых слепили =круг= для ГРУ. Сегодня плит, по-прежнему, 11, а в системе осталось 5 орпу и 2 црпу. Что же касается до позывных УС, то вот почти полный список в алфавитном порядке: Аврора = Арча = Барка = Бедренный = Белоручка = Восток = Вяз = Газометр = Геотермия = Горка = Грануляция = Гудок = Джемпер = Ластик = Лунный = Низина = Навеска = Наркотик (он же=Сполох=) = Натрит = Оазис(ЗКП) = Охрана = Пресса = Приборка = Прохладитель = Равный = Телега = Тестер = Трезубец =Треугольник = Фазатрон (Фаза в просторечии) = Шатровый = Шипун Это узлы связи и не только из системы =круг=", – пишет один из участников обсуждения.

Большая часть из этих станций действовала на территории России и других советских республик, некоторые работали на Кубе, во Вьетнаме, в Бирме и в Монголии. "Гудок" – центральная станция "Круга" в подмосковном Климовске (это и есть в/ч 34608, на территории которой стоит памятник "Кругу"), а позывной "Аврора" принадлежал центру, в который, согласно обсуждению на форуме, стекались данные радиоразведки. "С Барки мы регулярно получали подтверждение пеленгов перед докладом на Аврору", – пишет один из бывших связистов.

Радио Свобода не удалось подтвердить из других источников, что ЦУС "Аврора", центральная часть "Круга", находился или находится именно в военном городке на улице Свободы, более того, на форуме владельцев автомобилей Kia Rio бывший военнослужащий утверждает, что служил в “в/ч 40273, УС Аврора, 2001-2006”. Войсковая часть 40273, согласно открытым данным, находится на Хорошевском шоссе в штаб-квартире ГРУ.

Можно предположить, что, как и часть 74455, упомянутая в американском обвинительном заключении, близкие ей по профилю подразделения разведки используют по несколько адресов. Некоторые из них могут являться не самостоятельными частями, а структурными подразделениями других. Так или иначе, совокупность фактов указывает на то, что военный городок на улице Свободы имеет отношение к радиоразведке и 6-му управлению ГРУ. Перед домом по адресу: ул. Свободы, 22/2, можно увидеть большую параболическую антенну зеленого цвета.

Наконец, еще один адрес, который значится в открытых источниках как адрес войсковой части 74455, – Хорошевское шоссе, дом 76, корпус Б. Это одно из зданий большого комплекса ГРУ, расположенного рядом с Ходынским полем. Именно здесь, как утверждалось в расследовании Bellingcat, работал офицер ГРУ Олег Иванников, причастный к доставке в Украину из России "Бука", из которого ровно 4 года назад был сбит "Боинг" Малайзийских авиалиний. Адрес "Хорошевское шоссе, 76, к.Б", в частности, фигурирует в качестве официального адреса в/ч 74455 в документе 2011 года под названием "Производственная программа по обеспечению мероприятий, выполняемых филиалом "Московский" ОАО "Славянка" (та самая компания, в судебном решении против которой фигурирует адрес "ул. Свободы, 21/2". – Прим. РС) в сфере водоснабжения и водоотведения" (полный текст, .pdf).

В открытых источниках можно обнаружить медаль, на которой указан номер войсковой части 74455 и, по-видимому, ее вымпел: кристалл, который пронзают молния и меч. Очень похоже выглядит шеврон Главного вычислительного центра Генштаба.

"Национальные особенности кибервойны"

Помимо Виктора Борисовича Нетыкшо Радио Свобода не удалось найти упоминаний в открытых источниках других лиц, перечисленных в обвинительном заключении американской прокуратуры, – за одним, но любопытным исключением. Это третий номер в "списке 12", Дмитрий Сергеевич Бадин. По мнению следователей, он был военнослужащим части 26165 и помощником Бориса Антонова, главы подразделения, занимавшегося взломом компьютеров Демократической партии США. Бадин и Антонов якобы контролировали других участников преступной группы. Полный однофамилец Бадина встречается в интернете как зарегистрированный участник форума Positive Hack Days IV, состоявшегося в Москве в 2014 году. Информация об этом сохранилась на сайте компании Runet-ID, занимающейся продажей билетов на подобные мероприятия и регистрацией их участников (ссылка, сохраненная копия).

Форум Positive Hack Days IV был организован компанией Positive Technologies и стал четвертым таким мероприятием (в 2018 году форум состоялся уже в 8-й раз). Positive Technologies позиционирует себя в качестве одного из лидеров "отечественного и европейского рынка систем анализа защищенности и соответствия стандартам, а также защиты веб-приложений". В 2011 году издание itWeek называло Positive Hack Days "одним из главных событий российского рынка информационной безопасности". Генеральным спонсором форума выступала "Лаборатория Касперского". Форум 2014 года проходил 21–22 мая, всего через 10 дней после того, как в российских СМИ появилось подробное описание "кибервойск", создание которых в конце 2013 года анонсировал министр обороны РФ Сергей Шойгу. Вот как описывал будущие кибервойска "Московский комсомолец" со ссылкой на источник, близкий к Минобороны:

"Официально о наборе в киберподразделения военное ведомство не объявляло. Вместе с тем уже понятно, кто составит костяк киберструктуры. В прошлом году министр обороны РФ Сергей Шойгу заявил о начале "большой охоты" на программистов. Кроме того, там будут служить математики, криптографы, офицеры радиоэлектронной борьбы, связисты. Офицеры кибервойск в обязательном порядке должны будут пройти лингвистическую подготовку, то есть выучить иностранный язык. Не исключено, что туда в том числе призовут ребят, которые сейчас служат в "научных" ротах. Помимо отражения атак из сети интернет, новая структура поставит заслон кибернападениям на закрытые военные сети, к примеру противоракетной обороны. Известно, что Пентагон выделяет огромные средства на разработку шпионских программ, которые могут проникнуть в абсолютно закрытые сети, что создает угрозу национальной безопасности РФ".

Кто знает, возможно, первых "киберсолдат", которым через 4 года было доверено взломать компьютеры функционеров Демократической партии, отбирали, в числе прочего, на хакерском форуме? На сайте мероприятия анонсировалось участие в нем "представителей ФСБ", а официальная программа включала в себя доклады на общую тему "Национальные особенности кибервойны": "Большие данные в соцсетях: специальной слежки АНБ за вами не требуется", "Жизнь после Сноудена. Современный инструментарий интернет-разведки", "Как подслушать человека на другом конце земного шара", "Сравнение хакеров Ирана, Китая и Северной Кореи", "Государство и информационная безопасность". В компании Positive Technologies Радио Свобода сказали, что не занимались продажей и проверкой билетов на форум Positive Hack Days IV, поручив эту работу компании Runet-ID. В Positive Technologies утверждают, что при заполнении анкеты для участия в мероприятии участники форума могли оставить дополнительные личные данные, например, место работы, однако обработкой персональных данных занимались исключительно в Runet-ID. Телефоны этой фирмы на момент написания этой статьи не отвечали. Подтвердить из других источников, что Дмитрий Сергеевич Бадин действительно участвовал в Positive Hack Days IV, и выяснить, был ли он уже на этот момент военнослужащим части 26165, Радио Свобода не удалось.

Публикация обвинительного заключения в отношении 12 россиян, замешанных, по версии следствия, во взломе компьютеров Демократической партии, предшествовала встрече президентов США и России в Хельсинки. Дональд Трамп уже раскритиковал действия команды специального прокурора Мюллера: отвечая на вопросы журналистов после встречи с Владимиром Путиным, он назвал расследование российского вмешательства в американские выборы крайне неблагоприятным для отношений между Москвой и Вашингтоном и поддержал Путина в его утверждениях о том, что никакого вмешательства не было.

Многие комментаторы и независимые эксперты считают, что вскоре офис Мюллера может обнародовать новые подробности дела "русских хакеров": из подробного обвинительного заключения они сделали вывод о том, что американские спецслужбы располагают не только собранными самостоятельно данными, но и информацией от инсайдеров. По одной из версий, источником этой информации могут быть не упоминающиеся в обвинительном заключении сотрудники Центра информационной безопасности ФСБ России Сергей Михайлов, его заместитель Дмитрий Докучаев, сотрудник "Лаборатории Касперского" Руслан Стоянов и предприниматель Георгий Фомченков, арестованные в начале 2017 года и обвиненные в государственной измене. В апреле 2018 года стало известно, что Докучаев и Фомченков частично признали вину. По данным источников РБК, они признались в передаче сведений иностранным спецслужбам и согласились на рассмотрение своего дела в особом порядке (без исследования доказательств). Когда начнется судебный процесс по этому делу, пока неизвестно – ясно лишь, что он будет проходить в закрытом режиме, так как большая часть рассматриваемых в нем документов была признана судом относящимися к государственной тайне.