Российские хакерские структуры, связанные с военной разведкой, в течение 2025 года тайно получили доступ к тысячам интернет-роутеров по всему миру, перехватывая и контролируя электронную почту, посещения сайтов и пароли пользователей в домах и офисах.
По оценкам экспертов, операция длилась несколько месяцев. В связи с этим правоохранительные органы нескольких стран одновременно выпустили предупреждения и рекомендовали пользователям проверить настройки своих роутеров и обновить безопасность устройств.
Представитель ФБР заявил, что российские хакеры использовали взломанные роутеры в США и других странах для целей кибершпионажа, подчеркнув, что масштаб угрозы требует более серьёзных мер, чем простые предупреждения.
Связь с ГРУ и APT28
Атака приписывается группе APT28 (Advanced Persistent Threat 28), также известной как Forest Blizzard и его подразделение Storm-2754, которых западные спецслужбы связывают с в/ч 26165 Главного разведывательного управления (ГРУ) России.
Эта группа ранее обвинялась во взломе серверов Демократической партии США во время выборов 2016 года. Позднее американские власти установили связь между кибератаками и рядом сотрудников ГРУ.
Масштаб операции
По
данным Microsoft, с августа 2025 года хакеры могли получить доступ к устройствам около 5 000 пользователей в 200 организациях. Они изменяли DNS-настройки роутеров, что позволяло перенаправлять и перехватывать интернет-трафик.
Исследовательская группа Lumen сообщает, что атаки начались ещё в мае 2025 года, а пик пришёлся на декабрь, когда более 18 000 устройств в 120 странах оказались взломаны. Основными целями стали госучреждения, МИДы, силовые структуры и почтовые сервисы.
Британские киберслужбы также связывают APT28 с предыдущими операциями, включая взлом Бундестага в 2015 году и попытку проникновения в систему Организации по запрещению химического оружия (ОЗХО) в 2018 году.
SOHO router compromise leads to DNS hijacking and adversary-in-the-middle attacks
Executive summary Forest Blizzard, a threat actor linked to the Russian military, has been compromising insecure home and small-office internet equipment like routers, then modifying their settings in ways that turn them into part of the actor’s malicious…