27.02.2024
1 хв
1410
Які державні та пов’язані з державами хакерські угруповання атакують російські організації? Зібрали дослідження кібербезпекових компаній, дані про APT-групи, їхнє походження, цілі та зафіксовані кібероперації.
росія залишається однією з цілей хакерських угруповань, діяльність яких дослідники кібербезпеки пов’язують із державними структурами різних країн. Їхні операції спрямовані проти державних установ, промисловості, оборонного сектору, технологічних компаній та інших організацій.
Встановити, хто саме стоїть за такими атаками, допомагають технічні дослідження компаній Positive Technologies, «Лабораторія Касперського», BI.ZONE, Group-IB/F.A.C.C.T. та міжнародних команд із кібербезпеки. На основі їхніх публічних звітів сформовано таблицю з відомими хакерськими угрупованнями, їхніми ймовірними країнами походження, цілями на території росії та посиланнями на відповідні дослідження.
Основну увагу приділено угрупованням класу APT (Advanced Persistent Threat). Цим терміном позначають організованих зловмисників, які володіють значними технічними ресурсами, використовують складні методи проникнення та здатні тривалий час залишатися непоміченими в скомпрометованих системах. Діяльність багатьох APT-груп дослідники пов’язують з інтересами конкретних держав, хоча така атрибуція не завжди означає доведене пряме підпорядкування державним органам.
Окрему категорію становлять хактивістські угруповання, які проводять кібероперації з політичних або ідеологічних мотивів. Традиційно хактивізм асоціюється з публічними акціями, зламами сайтів, витоками інформації та DDoS-атаками.
Проте діяльність деяких угруповань уже виходить за ці межі. Вони систематично атакують визначені цілі, проводять складні операції та продовжують працювати протягом тривалого часу, зокрема в умовах збройного конфлікту. За характером діяльності такі групи можуть наближатися до APT, хоча їхній організаційний статус і зв’язки з державними структурами залишаються предметом досліджень.
Саме тому до переліку, крім традиційних APT-груп, включено окремі хактивістські угруповання, які дослідники пов’язують із цілеспрямованими кіберопераціями.
У таблиці систематизовано інформацію з відкритих досліджень, опублікованих переважно у 2021–2026 роках. Також враховано окремі матеріали попередніх років.
Для кожного угруповання наведено:
Назва: Основне позначення та альтернативні назви, які використовують різні компанії з кібербезпеки. Додаткові відомості про відповідність назв можна знайти в базі Malpedia.
Країна: Держава, з якою дослідники ймовірно пов’язують діяльність угруповання. Атрибуція ґрунтується на опублікованих звітах або усталених оцінках фахівців.
Цілі в росії: Галузі та типи організацій, які зазнавали атак. Конкретні назви постраждалих компаній у звітах зазначаються не завжди.
Звіти: Посилання на дослідження, у яких описано активність угруповання, використані інструменти та техніки атак.
Усього: Кількість звітів, пов’язаних із діяльністю відповідної групи.
У деяких випадках дослідження не містять прямої атрибуції, однак їх можна пов’язати з діяльністю відомих угруповань завдяки збігам технічних індикаторів із попередніми звітами.
Якщо одну операцію пов’язують із кількома групами, відповідний звіт зазначено для кожної з них і виділено курсивом. Матеріали, у яких за сукупністю інших досліджень виявлено ймовірні помилки атрибуції, позначено зірочкою (*).
Першу версію таблиці опублікували 2 квітня 2024 року. Відтоді перелік регулярно доповнювали новими дослідженнями та уточнювали атрибуцію окремих угруповань.
Останнє оновлення відбулося 3 листопада 2026 року. До бази додали ще 68 звітів, переважно за період із квітня до жовтня 2026 року, а також окремі давніші матеріали. У межах оновлення об’єднали угруповання TA428 і TaskMasters, а звіти з імовірно помилковою атрибуцією отримали спеціальні позначки.
Попередні оновлення виходили 24 жовтня 2024 року, 9 квітня 2025 року, 13 жовтня 2025 року та 14 квітня 2026 року.
Таблиця охоплює лише частину публічно задокументованих кібероперацій проти російських організацій. До неї не включено звичайні кіберзлочинні угруповання, діяльність яких переважно мотивована фінансовою вигодою. Крім того, далеко не всі державні кібероперації отримують окремі технічні звіти. Наприклад, у переліку не відображено операцію Кіберкомандування США проти російського агентства РИА ФАН у листопаді 2018 року.
Варто враховувати й те, що кібератрибуція не завжди дає змогу однозначно встановити виконавця. Різні дослідницькі компанії можуть використовувати власні назви угруповань, по-різному оцінювати їхнє походження або пов’язувати ті самі операції з різними групами. Тому таблицю слід розглядати як систематизований огляд відкритих досліджень, а не як остаточний список усіх державних хакерів, які атакують росію.
