С начала военной фазы операции «Эпическая ярость» (Operation Epic Fury) 28 февраля 2026 года военное противостояние между США, Израилем и Ираном дополнилось массированной кампанией в киберпространстве. Связанные с государством хакерские группы и децентрализованные хактивистские коллективы, координирующиеся через Telegram, развернули беспрецедентную волну атак против американской и израильской инфраструктуры. Ключевым событием стал взлом глобальной сети медицинского гиганта Stryker с использованием облачных инструментов Microsoft, что подтвердило переход конфликта в новую, гибридную фазу.
Атака на Stryker: Троянский конь в операционной
Американская компания Stryker, мировой лидер в области медицинских технологий, 11 марта подтвердила факт кибератаки, нарушившей работу ее глобальной сети. По данным The Wall Street Journal, сотрудники компании при попытке входа в корпоративные системы обнаружили на страницах аутентификации логотип группировки Handala — хакерского коллектива, который западные эксперты связывают с Министерством разведки и безопасности Ирана (MOIS).
Согласно данным платформы киберразведки SOCRadar, Handala взяла на себя ответственность за взлом и заявила, что использовала облачную платформу управления мобильными устройствами Microsoft Intune для удаленного удаления данных (wipe) с более чем 200 000 устройств в 79 странах. Группировка позиционирует эту операцию как акт возмездия за ракетный удар по женской школе в иранском городе Минаб, в результате которого, по заявлениям, погибло более 160 человек. Атака была направлена именно на среду Microsoft, используемую Stryker, однако полный масштаб ущерба и сроки восстановления систем до сих пор остаются неясными.
Эксперты отмечают важный момент этого инцидента: атака переместила конфликт, ранее ограничивавшийся преимущественно регионом Персидского залива, непосредственно на территорию США, продемонстрировав способность Ирана наносить болезненные ответные удары по коммерческому сектору с использованием легитимных облачных инструментов.
Триада угроз: КСИР, MOIS и «Кибер-исламское сопротивление»
Взлом Stryker — лишь вершина айсберга масштабной киберкампании. Согласно отчету компании CloudSek, специализирующейся на кибербезопасности, несколько давно существующих группировок, связанных с иранским государством, активизировали операции против критической инфраструктуры США. Аналитики выделяют три основных вектора атак, осуществляемых под общим зонтиком операции «Эпическая ярость».
1. Государственные группировки КСИР: Охота на Industrial Control Systems
Группы, поддерживаемые Корпусом стражей исламской революции Ирана (КСИР), включая CyberAv3ngers, APT33 и APT55, сфокусировались на атаках против американских систем промышленного управления (ICS) — компьютеров, управляющих физической инфраструктурой: водоочистными сооружениями, электросетями и производственными линиями.
- CyberAv3ngers используют низкотехнологичный, но эффективный метод: хакеры проникают в промышленные машины, используя пароли по умолчанию, и устанавливают вредоносное ПО, способное потенциально контролировать эти системы.
- APT33 (известная также как Elfin) применяет технику «password spraying» для получения доступа к многочисленным учетным записям в американских энергетических компаниях. Затем группа пытается вывести из строя системы безопасности, инсталлируя вредоносное ПО.
- APT55 специализируется на кибершпионаже против лиц, связанных с американским энергетическим и оборонным секторами, с целью сбора разведывательной информации для иранского руководства.
2. Министерство разведки (MOIS): Брокеры доступа и новые бэкдоры
Министерство разведки и безопасности Ирана (MOIS) задействовало такие группы, как MuddyWater (также известна как Seedworm, Mango Sandstorm), APT34 (OilRig) и уже упомянутую Handala для скоординированных действий против Израиля и США.
- MuddyWater играет роль «брокера первоначального доступа» (initial access broker). Специалисты Symantec и Carbon Black обнаружили, что группа внедрилась в сети американского банка, аэропорта, некоммерческих организаций и израильского филиала софтверной компании, поставляющей решения для оборонной и аэрокосмической промышленности. Для этого использовались два новых бэкдора: DinDoor (на базе JavaScript-среды Deno) и FakeSet (на Python), которые были подписаны поддельными цифровыми сертификатами. Их задача — собирать пароли и, взламывая сеть, передавать доступ к ней другим злоумышленникам для проведения более разрушительных атак.
Активность MuddyWater, начавшаяся еще в феврале, ставит американские организации в «потенциально опасное положение», так как противник уже имеет закрепленные точки присутствия в сетях до начала активных боевых действий.
3. Хактивисты и «Кибер-исламское сопротивление»: Безрассудная идеология
Помимо дисциплинированных государственных структур, на поле боя вышли десятки идеологически мотивированных хактивистских групп. По данным CloudSek и SOCRadar, в первые часы операции «Эпическая ярость» было мобилизовано более 60 таких групп, которые сформировали коалицию под названием «Кибер-исламское сопротивление» (Cyber Islamic Resistance), также известную как «Электронный операционный центр».
Координация осуществляется преимущественно через Telegram-каналы, что делает эту структуру децентрализованной, но высокоэффективной. В отличие от групп, управляемых государством, хактивисты:
- Менее дисциплинированы, но потенциально более безрассудны.
- Не имеют политических ограничений на нанесение ущерба гражданскому населению.
- С наибольшей вероятностью используют искусственный интеллект (ИИ), чтобы компенсировать недостаток технических знаний.
В состав коалиции вошли такие известные группы, как 313 Team, NoName057(16), FSociety, Z-Pentest Alliance и DieNet. Их основное оружие — DDoS-атаки, дефейс веб-сайтов, доксинг и утечки данных. Целями становятся правительственные домены, энергетический сектор, транспорт и финансовые учреждения в США, Израиле, а также в странах Персидского залива, где размещены американские базы (Кувейт, Катар, Бахрейн, ОАЭ, Саудовская Аравия).
По данным платформы SOCRadar, только за первые две недели войны (с 1 по 11 марта) «Кибер-исламское сопротивление» взяло на себя ответственность за более чем 600 отдельных атак, освещавшихся в более чем 100 Telegram-каналах. Пик активности пришелся на 7-9 марта, когда было зафиксировано 368 инцидентов в 12 странах, причем около половины из них пришлось на Израиль.
Ответный удар: Действия США и союзников в киберпространстве
США и Израиль также активно действуют на цифровом поле боя. Генерал Дэн Кейн, высший военный чиновник Америки, подтвердил, что Киберкомандование США (US CYBERCOM) было одним из «инициаторов» в операции «Эпическая ярость». Кибератаки союзников были нацелены на нарушение работы сенсорных сетей и коммуникаций Ирана, что, по словам Кейна, оставило страну «без возможности видеть, координировать или эффективно отвечать».
Уже в первые часы конфликта интернет-связь внутри Ирана рухнула до 1-4% от обычного уровня, что серьезно затруднило управление государственными структурами и военными подразделениями. Правительственные сайты, включая IRNA, стали недоступны, а связанный с КСИР ресурс Tasnim был взломан для демонстрации антиправительственных сообщений.
Министр обороны США Пит Хегсет подтвердил использование искусственного интеллекта и киберинструментов в рамках войны с Ираном. Кроме того, по данным Financial Times, израильские спецслужбы использовали взломанную сеть камер наблюдения по всему Тегерану для слежки за передвижениями руководства страны.
Анализ: Асимметричный ответ и новые риски
События марта 2026 года демонстрируют эволюцию иранской кибердоктрины. Как отмечают эксперты UltraViolet Cyber, Иран превратил киберпространство в «инструмент государственной власти», сделав ставку не на сложные zero-day эксплойты, а на повторяемые методы доступа: кражу учетных данных, спрей-атаки паролей и социальную инженерию с последующим закреплением через облачные сервисы и корпоративные приложения.
Разделение труда между дисциплинированными APT-группами КСИР/MOIS (которые занимаются шпионажем и закладкой бэкдоров) и «безрассудными» хактивистами (которые создают информационный шум и атакуют гражданские цели) создает сложную и трудно парируемую угрозу. Коалиция «Кибер-исламское сопротивление» фактически действует как асимметричное оружие, позволяющее Ирану наносить удары без прямой государственной ответственности.
Для американского бизнеса и критической инфраструктуры это означает необходимость экстренного пересмотра мер защиты. Как предупреждает Генеральный прокурор Южной Каролины Алан Уилсон, «современная война не всегда означает форму и поля боя. Она включает кибератаки, прокси-насилие и спящие ячейки». Федеральные агентства США (ФБР, CISA) призывают организации к немедленному усилению киберзащиты: внедрению многофакторной аутентификации (MFA), сегментации сетей и мониторингу подозрительной активности в облачных средах.