Познакомьтесь с новыми хакерами из ГРУ

Христо Грозев и The Insider раскрыли сотрудников подразделения, где работали «Петров» и «Боширов». Они не смогли защитить собственный сервер

Журналисты The Insider и расследователь Христо Грозев 31 мая опубликовали расследование о подразделении ГРУ 29155. С помощью эксперта в области кибербезопасности они получили доступ к серверу, которым пользовалась хакерская группа, и изучили его содержимое. Благодаря этим данным расследователи смогли установить имена новых сотрудников подразделения, а также узнать, в каких операциях они участвовали. «Медуза» пересказывает этот материал.

В сентябре 2024 года ФБР опубликовало обвинительное заключение в адрес группы хакеров из подразделения ГРУ 29155. Ранее эта войсковая часть была известна тем, что ее сотрудники пытались отравить бывшего полковника ГРУ Сергея Скрипаля и его дочь Юлию в английском Солсбери; до расследования The Insider и Христо Грозева считалось, что за хакерскими атаками обычно стоят другие подразделения ГРУ.

Сервер этой группы хакеров оказался незащищен: The Insider объясняет, что он имел открытые порты, которые можно было взломать с помощью брутфорса. В феврале 2025 года уязвимость обнаружил блогер, специализирующийся на кибербезопасности, эту информацию он передал The Insider. С помощью сервера журналисты получили доступ к мишеням хакеров (около ста доменов), списку телефонных номеров, которые пробивали сотрудники подразделения, а также другой информации. Благодаря этим данным, утекшим базам и разговорам с источниками The Insider удалось идентифицировать сотрудников подразделения и цели его атак.

Что известно о воинской части ГРУ 29155

Идея создать хакерскую группу при подразделении 29155 возникла около десяти лет назад. Проект возглавили Роман Пунтус и Юрий Денисов, не имевшие специальных компьютерных знаний, однако бывшие на хорошем счету благодаря спецоперациям ГРУ в Европе.

Вместе с ними над проектом работал новый член подразделения — Тим Стигал, блогер и автор книги о торговле на рынке Форекс в соответствии с исламом (Стигал — этнический чеченец). В 2011 году в твиттере он просил Дмитрия Медведева, бывшего тогда президентом России, «взять его в свою команду», так как он «полон идей». К 2012 году Стигал уже тесно сотрудничал с Департаментом военной контрразведки (ДВКР ФСБ) и не позднее 2014-го попал в команду руководителя военной части 29155 Андрея Аверьянова. В 2014 году Стигал получил паспорт на имя «Данилы Магомедова» из того же диапазона номеров, что и паспорта отравителей Скрипаля «Петрова» и «Боширова» (Анатолия Чепиги и Александра Мишкина).

У ФСБ в целом и у ДВКР в частности, утверждает The Insider, были хорошие контакты с хакерами-мошенниками, занимавшимися финансовыми киберпреступлениями. Среди прочих Стигалу удалось привлечь к работе Евгения Башева и Игоря Ворошилова, а также Алексея Строганова по прозвищу Флинт.

В 2006 году Строганов получил шесть лет заключения за мошенничества с банковскими картами, но вышел на свободу уже через два года. Журналисты предполагают, что этому мог поспособствовать ДВКР ФСБ, с которым Строганов стал сотрудничать (в 2021 году, уже на следующем суде, Строганов сам рассказывал о работе на спецслужбы и показывал грамоту с подписью директора ФСБ). После освобождения Строганов стал «экспертом в области кибербезопасности»: он защищал банки и платежные системы от хакерских атак, про него было снято несколько документальных фильмов и написана книга.

Одновременно с работой на бизнес и спецслужбы, по версии следственного департамента МВД, Строганов возглавлял группировку, которая с 2014 года по март 2020-го похищала данные банковских карт в России, Евросоюзе и США. После ареста группы (всего по уголовному делу проходят 26 человек), выяснилось, что ключевой подельник Строганова — действующий сотрудник ДВКР ФСБ.

Как болгарская журналистка помогла хакерам ГРУ запустить фейк об «американских биолабораториях»

Большинство операций, которые Стигал организовывал в интересах ГРУ, были не хакерскими, а провокаторскими. Например, целью одной из них была дискредитация издания Bellingcat. А через твиттер-аккаунт, якобы принадлежащий «Правому сектору», Стигал публиковал украденные данные польских чиновников. На основании анализа этой операции журналисты The Insider предполагают, что группировка могла сотрудничать с Fancy Bear (военная часть 26165).

Вероятно, самой успешной операцией хакеров из подразделения 29155 стал взлом крупнейшего банка Катара QNB в мае 2016 года. Этот взлом, который так и не связали с Россией, позволил выгрузить массив размером 1,5 гигабайта с данными клиентов, содержащий банковские учетные данные, номера телефонов, данные платежных карт и даты рождения. Ответственность за взлом взяла на себя в социальных сетях турецкая фашистская группа с никнеймом bozkurthackers: утечка должна была привлечь внимание к финансовым операциям правящей семьи Катара и операциям разведки. В действительности аккаунтом «турецкой фашистской группы» управляла команда Тима Стигала. Информацию об этом журналисты нашли на сервере ГРУ.

В 2017 году Стигал создал твиттер-аккаунт Anonymous Bulgaria, через который слил взломанную переписку посольства Азербайджана. Для легитимации вброса он привлек к его распространению болгарскую журналистку Диляну Гайтанджиеву, которая опубликовала «расследование», основанное на материалах Стигала, в болгарской ежедневной газете «Труд» (позже ее уволили из издания). The Insider предполагает, что Гайтанджиева работала с ГРУ как минимум с 2016 года. Тогда во время командировки в Сирию она якобы обнаружила у сирийских повстанцев болгарское оружие. Этот нарратив Россия затем использовала для давления на Болгарию. Из переписок Стигала журналисты делают вывод, что целями ГРУ была организация уличных акций у болгарского посольства и контроль военного экспорта из Болгарии.

В 2018 году журналистка Гайтанджиева делала репортаж из Грузии об «американских биолабораториях», якобы работающих на территории посольства США в Тбилиси. За несколько дней до ее репортажа в Тбилиси побывал Стигал. Репортаж Гайтанджиевой, опубликованный на спутниковом телеканале, связанном с сирийским правительством, стал первым в серии конспирологических публикаций об «американских биолабораториях». Позже этот фейк стал одной из главных тем российской пропаганды. Как сообщает The Insider, в воинской части 29155 это считают одним из своих главных успехов.

Вскоре Гайтанджиева зарегистрировала веб-сайт ArmsWatch.com, где начала публиковать данные, украденные подразделением 29155. В 2019 году эти сливы рассорили Кремль с главным союзником — Сербией.

В Украине Стигал завербовал десятки агентов низкого уровня. Они должны были организовывать провокации, выдавая себя за членов батальона «Азов». На сервере хакеров журналисты обнаружили фотоотчеты о тысячах оскорбительных надписей в адрес президента Украины Владимира Зеленского, которые провокаторы наносили на стены домов в украинских городах (расценки за такие надписи составляли от одного до пяти долларов). Отчеты подразделения 29155, найденные на сервере, также содержали адреса криптокошельков. Через основные кошельки на компенсации провокаторам ушло несколько сотен тысяч долларов. Также Стигал от лица проукраинского чеченского сепаратиста Ахмета Закаева координировал печать футболок с оскорбительными надписями в адрес Зеленского.

В операции, которая должна была поссорить «азовцев» и Зеленского, принимала участие и болгарская журналистка Диляна Гайтанджиева. В 2022 году она опубликовала материал, в котором рассказывалось о конфликте «Азова», якобы получавшего деньги от кадыровцев, с ГРУ.

Журналисты The Insider также нашли на сервере отчеты о слежке за тремя членами администрации Зеленского, которые отвечают за европейскую интеграцию: Андреем Бойко, Тарасом Жураковским и Игорем Жовквой. В папке, посвященной последнему, находились десятки фотографий Жовквы и его дома, подробная информация о нем и членах его семьи, информация о том, кто звонил на его мобильный, а также геолокация мобильного за шесть месяцев 2021 года. В октябре 2021 года в дом Игоря Жовквы в Киеве бросили бутылку с зажигательной смесью. Арестованный по этому делу украинец заявил, что за поджог ему обещали семь тысяч долларов, а задание он получил от неизвестного в зашифрованном мессенджере.

Как хакерская группа изменила состав — и что о нем думают ее участники

Судя по биллингам телефонных разговоров Стигала, Романа Пунтуса и Юрия Денисова, во второй половине 2019 года они стали ездить в Воронеж, где общались с молодыми программистами. Одна из поездок Стигала совпала с хакатоном Capture The Flag, в котором приняли участие сто молодых программистов из восьми воронежских университетов. На нем ГРУ завербовало команду юных программистов из Военного учебно-научного центра Военно-воздушных сил, членов которой местные журналисты называли «орлята».

Не менее семи человек из команды нашли работу в подразделении 29155. Это Владислав Боровков, Дмитрий Воронов, Дмитрий Голошубов, Денис Денисенко, Николай Корчагин, Владимир Леонов и Виталий Шевченко (также пользовался именем Елизар Критский, в телефонах у знакомых он был записан как «хакер Елизар»). Шевченко успел поучаствовать во взломе Минобороны Эстонии и других госучреждений страны в 2020 году, однако уже в конце 2021 года ушел из группы из-за личного конфликта со своим начальником Романом Пунтусом.

К 2021 году между Стигалом, Денисовым, Пунтусом и замначальника подразделения 29155 Иваном Касьяненко вспыхнул конфликт. Известно, что Стигал обвинял коллег в коррупции. Накануне полномасштабного вторжения финансирование подразделения выросло: ГРУ и подразделение 29155, по данным The Insider, должны были сыграть решающую роль в первые дни вторжения. В числе их задач были захват ключевых правительственных зданий в Киеве и убийство Зеленского. В 2021 году Стигала уволили «по состоянию здоровья», руководить «хакерским» отделом подразделения 29155 стали Денисов и Пунтус. Представление о работе в IT имел только Денисов.

Для участия в европейских операциях воинской части 29155 Юрий Денисов использовал разные имена прикрытия (например, Юрий Дудин, Юрий Лукин, а также документы на фамилии «Карпов» и «Сергеев» для поездок по России). The Insider удалось раскрыть имена прикрытия Денисова благодаря тому, что для бронирования рейсов под всеми именами он использовал один и тот же номер телефона. Этот же номер он указывал при покупке билетов для своих подчиненных, что позволило The Insider узнать имена ранее неизвестных сотрудников.

Телеграм-аккаунт Денисова был подписан на множество групп, связанных с хакингом, а также на чат-группу, посвященную созданию дипфейк-порно. В чатах Денисов часто переписывался и немного рассказывал о себе. Вот что он писал:

Я тоже наемник, контрактник. Офицер МО. И я удовольствия от своей работы не получал и не получаю, несмотря на оплату. Все по пирамиде Маслоу. И если бы не онкология, то был бы в составе ЧВК.

Сотрудников Минобороны Денисов называл «дибилами» (орфография сохранена). Позже Денисова отправили на новое место работы — в ЧВК Беларусь.

После ухода Стигала его место руководителя хакеров занял Роман Пунтус (имя прикрытия — Роман Панов). Телефон, зарегистрированный на личность «Панова», Пунтус использовал для контактов с секс-работницами (им он представлялся Сергеем).

За связи с ДВКР ФСБ вместо Стигала теперь отвечал хакер и владелец компании «Импульс» в Ростове Евгений Башев. Он уже долго работал на контрразведку ФСБ. Компания Башева выполняла роль прокладки, позволявшей проводить деловые операции, связанные с хакерской деятельностью, через компании, формально не аффилированные с государством. В Ростове также располагался сервер под названием «Эгеон», предположительно, находившийся под управлением Башева.

Пунтус, вероятно, решив последовать примеру Башева, открыл свою фирму-прокладку «Эгеон-Импульс». Компанию оформили на подставное лицо, бухгалтера Дарью Кулишову. В переписке Кулишовой, к которой получил доступ The Insider, журналисты обнаружили программу производства коптеров, в качестве их производителя значился ростовский «Импульс». Позже у Кулишовой начался роман с Пунтусом, у которого уже была семья. Используя паспорт прикрытия, Пунтус ездил с Кулишовой в Сочи и Ростов. Позже она родила ребенка и дала ему отчество «Романович».

Судя по данным, обнаруженным журналистами, активная деятельность хакеров началась в конце 2021 года. Тогда первыми мишенями хакерской группы стали государственные украинские сайты, в том числе связанные с энергетической инфраструктурой. The Insider делает вывод, что атаки были связаны с подготовкой к полномасштабному вторжению. Вывести из строя украинские электростанции у подопечных Пунтуса так и не получилось: 13–14 января 2022 года им удалось лишь взломать сайты многих компаний и вывесить на главной странице антиукраинское послание. По оценке украинских властей, существенного ущерба хакеры не нанесли.

Хакеры также искали уязвимости на сайтах государственных ведомств и объектов инфраструктуры Армении, Грузии, Молдовы, Польши, Словакии, Узбекистана, Эстонии. Больше всего хакеров интересовали сайты Чехии. Среди телефонов, которые «пробивали» хакеры, оказались не только объекты их профессионального интереса, но также их знакомые и родственники.

По мнению одного из молодых членов хакерской группы, который пообщался с The Insider на условиях анонимности, главные проблемы подразделения — низкая мотивация сотрудников и некомпетентность руководства, которое нацелено в основном на «обогащение». Также руководители воинской части «не умеют нормально обращаться даже с собственным компьютером», приводят слова собеседника журналисты. По его мнению, все в подразделении уверены, что у них «завелась крыса», поскольку информация об операциях часто становится известна противнику раньше, чем ту же информацию получают генералы. Сам собеседник The Insider считает, что из-за низкой компетенции руководства утечки информации неизбежны.

«Медуза»