Военная часть 61398 (китайское обозначение: 61398 ) — это специализированное подразделение Народно-освободительной армии Китая (НОАК), которое широко известно в международном сообществе как одна из самых активных и продвинутых группировок в сфере киберразведки и кибервойны. В западной классификации оно часто ассоциируется с группировкой APT1 (Advanced Persistent Threat 1).

Общая информация и подчинение

• Полное наименование: Подразделение 61398 (второе бюро / 2-е бюро).
• Тип подразделения: Кибервойска (Information Warfare / Cyber Espionage).
• Подчинение: Прямо подчиняется 3-му управлению Генерального штаба НОАК (3rd Department of the General Staff Department), которое функционально является аналогом Агентства национальной безопасности (АНБ / NSA) США.
• Годы деятельности: Примерно с 2004 года по настоящее время.
• Численный личный состав: По оценкам на 2013 год — около 2000 человек.

Миссия и функции

Согласно открытым источникам и расследованиям компаний по кибербезопасности, основные задачи подразделения включают:

1. Киберразведка против США и Канады: Основной вектор атак направлен на англоязычные страны.
2. Разведка против стран Азиатско-Тихоокеанского региона: Включая Японию, Таивань, Филиппины и другие.
3. Кража интеллектуальной собственности: Коммерческая шпионажа в интересах китайской экономики и государственных корпораций.
4. Доступ к чувствительной информации: Проникновение в сети правительственных ведомств, оборонных предприятий, энергетического сектора, телекоммуникаций и высоких технологий.

Для сравнения: соседнее подразделение 61046 («8-е бюро») специализируется на разведке против стран Европы, России и Центральной Азии.

История формирования и инфраструктура

Ранние этапы (2004–2007)

Точная дата создания засекречена, однако известно, что уже в 2004 году подразделение активно вербовало выпускников профильных вузов — специалистов по информационным технологиям.

Строительство штаб-квартиры в Шанхае

В начале 2007 года в шанхайском районе Пудун началось строительство специализированного здания для размещения штаба и серверных мощностей части.

• Адрес дислокации (по данным отчета Mandiant 2013 г.): ул. Датун-роуд (Datong Road), д. 208 (частично скрыт).
• Характеристики здания: 12-этажное сооружение, общая площадь около 12 138 кв. м.
• Техническое оснащение: В 2009 году при поддержке государственного оператора China Telecom в здание была проложена выделенная оптоволоконная линия связи высокой пропускной способности.

Расследование компании Mandiant (2013 год)

Ключевым моментом в публичной истории подразделения стало публикация 18 февраля 2013 года отчета американской компании по кибербезопасности Mandiant (основатель — Кевин Мандия, бывший сотрудник спецподразделений ВВС США).

Основные выводы отчета «APT1: Exposing One of China’s Cyber Espionage Units»:

• Подразделение 61398 идентифицировано как группа APT1.
• Документирована деятельность с 2006 года (как минимум).
• Зафиксировано более 1000 кибератак за период 2002–2012 гг. (по данным FireEye/Mandiant).
• Атаки проводились преимущественно в рабочее время часового пояса Шанхая (UTC+8), что коррелирует с графиком работы воинской части.
• Использовались инструменты и вредоносное ПО, разработанные специально для данного подразделения (китайскоязычные интерфейсы, кодовые страницы).

Реакция официального Пекина

Правительство КНР официально отрицает причастность Военной части 61398 к кибератакам, называя обвинения необоснованными и политически мотивированными. Официальная позиция: Китай сам является жертвой хакерских атак и выступает за международное сотрудничество в сфере кибербезопасности.

Известные инциденты и цели атак

Группировке, связанной с В/ч 61398 (также известной как Comment Crew, Shanghai Group, Byzantine Candor, Elderwood Group), приписываются следующие крупные инциденты:

• Операция «Аврора» (Operation Aurora, 2009): Массированная атака на десятки американских компаний (Google, Adobe, Juniper Networks, Rackspace и др.) с целью кражи исходного кода и доступа к почте правозащитников.
• Атака на RSA Security (2011): Компрометация токенов двухфакторной аутентификации SecurID, использованная позже для атак на оборонных подрядчиков (Lockheed Martin, Northrop Grumman).
• Шпионаж за переговорами по греческому кризису (2012): Перехват около 14 минут электронной переписки председателя ЕЦБ (Европейского центрального банка) в июле 2012 года.
• Кража данных в сфере авиации, спутниковых технологий, ядерной энергетики и биотехнологий.

Методы работы (TTPs — Tactics, Techniques, and Procedures)

Специалисты подразделения 61398 демонстрируют высокий уровень профессионализма и используют стандартный цикл кибератаки (Cyber Kill Chain):

1. Разведка (Reconnaissance): Сбор открытых данных (OSINT), сканирование периметра, анализ LinkedIn для социальной инженерии.
2. Вооружение (Weaponization): Использование эксплойтов для 0-day уязвимостей (например, в Internet Explorer, Flash, Microsoft Office) и готовых вредоносных наборов (Poison Ivy, Gh0st RAT, а также самописные бэкдоры вроде SOGU, GREENCAT).
3. Доставка (Delivery):b> Спеар-фишинг (Spear Phishing) — целевые письма с вложениями (PDF, DOC, XLS) или ссылками, маскирующимися под деловые документы, резюме, приглашения на конференции.
4. Эксплуатация и установка: Получение футерула в сети, установка бэкдоров для постоянного доступа (Persistence).
5. Управление (C2 — Command & Control): Использование зараженных легитимных сайтов (Web C2), динамических DNS, кодирования трафика в HTTP/HTTPS, DNS-туннелирования.
6. Действия над объектами (Actions on Objectives): Латеральное перемещение (Pass-the-Hash, Pass-the-Ticket), дамп учетных данных (Mimikatz), архивация и эксфильтрация данных через зашифрованные каналы.

Индикаторы компрометации (IOCs) и атрибуция

Атрибуция атаки конкретно В/ч 61398 основывается на совокупности факторов:

• Геолокация IP-адресов C2-серверов: Диапазоны адресов, зарегистрированные за организацией в Шанхае (район Пудун), совпадающие с адресом здания по ул. Датун-роуд.
• Языковые артефакты: Кодовые страницы GB2312/GBK, китайские комментарии в коде, имена путей к файлам на китайском (пиньинь).
• Временные метки: Активность пики в 08:00–17:00 по шанхайскому времени, перерывы на обед и китайские праздники (Золотой недель, Новый год).
• Инфраструктура: Использование хостинг-провайдеров, связанных с China Telecom и China Unicom в Шанхае.
• Персонал: В отчете Mandiant упоминались псевдонимы/идентификаторы конкретных операторов (например, UglyGorilla, DOTA, SuperHard), позже связанных с реальными лицами, вербованными через вузы Шанхая (фото, профили в соцсетях, данные частично скрыты *).

Судебные преследования (США)

В мае 2014 года Министерство юстиции США (DoJ) возбудило уголовное дело против пяти офицеров В/ч 61398 (впервые в истории предъявлены обвинения государственным сотрудникам иностранной страны за кибершпионаж).

• Обвиняемые (фамилии частично скрыты ): Ван , Сунь , Хуан , Цзян , Гао .
• Должности: Офицеры подразделения, специализирующиеся на вредоносном ПО, управлении ботнетами и проникновении в сети жертв.
• Статьи обвинений: Заговор с целью компьютерного мошенничества, кража коммерческих тайн, взлом компьютеров, шпионаж в выгоду государственных предприятий КНР (в т.ч. Westinghouse Electric, US Steel, Alcoa, SolarWorld, United Steelworkers Union).

Китайский МИД резко протестовал, обвинение было названо «фарсом», а сотрудники В/ч 61398, «патриотами, защищающими кибербезопасность Китая». Обвиняемые не были экстрадированы.

Эволюция после 2013–2014 гг.

После публичного разоблачения (Mandiant) и санкций (DoJ) тактика подразделения эволюционировала:

• Диверсификация инфраструктуры: Переход на использование VPS/облачных провайдеров по всему миру, компрометация легитимных сайтов для C2 (Dead Drop Resolvers).
• Смена инструментария: Отказ от «подписанных» семейств малвари (APT1 tools), переход на более модульные, сложные для атрибуции фреймворки (например, PlugX, ShadowPad, Cobalt Strike BEACON с кастомными профилями).
• Операционная безопасность (OpSec): Более строгая сегментация задач, использование «одноразовой» инфраструктуры для высоковажных целей.
• Ребрендинг/Разделение: Аналитики (FireEye, CrowdStrike, Microsoft Threat Intelligence) сейчас выделяют несколько кластеров активности, происходивших из APT1: APT17 (DeputyDog), APT30, APT41 (Winnti/Double Dragon) (частично криминальная активность), TA428 (Colorful Panda) и др. Однако базовая школа обучения и кадровый резерв остаются связанными с 3-м управлением и В/ч 61398.

Значение для кибербезопасности

Дело В/ч 61398 стало поворотным моментом в истории кибербезопасности:

1. Легитимация публичной атрибуции: Доказало, что частные компании могут технически доказать причастность госструктур к атакам.
2. Стандартизация термина APT: Термин APT1 стал назывным для класса угроз «продвинутые постоянные угрозы».
3. Развитие Threat Intelligence: Стимулировал рынок платформ обмена индикаторами угроз (TIP) и фидов IOC.
4. Международное право: Поднял вопрос применимости международного гуманитарного права (Женевские конвенции) и Таллинского руководства к кибероперациям военного характера.

Резюме

Военная часть 61398 остается эталонным примером государственно спонсируемой группировки кибершпионажа (State-Sponsored APT). Несмотря на публичное разоблачение в 2013 году и санкции 2014 года, структура, входящая в состав 3-го управления Генерального штаба НОАК, продолжает активную операционную деятельность, адаптируя инструменты и инфраструктуру под современные реалии защиты. Для организаций, работающих в секторах высоких технологий, обороны, энергетики и финансов, учет TTPs и IOC, ассоциируемых с данной группировкой (и ее «потомками»), остает критически важным элементом стратегии защиты.

---

Статья подготовлена на основе открытых источников (OSINT), включая отчет Mandiant APT1 (2013), материалы US DoJ (2014), публикации Project 2049 Institute, данные Википедии и отчеты ведущих вендоров Threat Intelligence (FireEye, CrowdStrike, Microsoft, Kaspersky, Positive Technologies). Конфиденциальные персональные данные и точные адреса инфраструктуры частично замаскированы (*).