В/ч 61460 — это тактический номер (военная почта) подразделения Народно-освободительной армии Китая (НОАК), которое в открытых источниках разведки (OSINT), отчетах компаний по кибербезопасности (Mandiant, FireEye, CrowdStrike) и актах обвинения Министерства юстиции США (DoJ) идентифицируется как одна из ключевых структур, осуществляющих кибершпионаж и кибератаки.

Данная статья обобщает информацию из публичных докладов спецслужб США, отчетов аналитических центров и следственных материалов журналистов (Bellingcat, The Insider, Reuters и др.) на . Официальные данные ПРК о командном составе данной части не публикуются.

Идентификация и подчиненность

• Тактический номер: 61460 (в/ч 61460).
• Расположение: г. Чэньду, провинция Сычуань (ранее — Чэньдуйский военный округ, ныне, Западный театральный округ операции).
• Покровное название: «Центр технической разведки 11-го бюро 3-го департамента Генерального штаба НОАК» (по данным Mandiant/DoJ).
• Известные псевдонимы группы: APT41, Double Dragon, Winnti Group, Wicked Panda, Brass Typhoon (Microsoft).
• Профиль деятельности: Кибершпионаж (кража интеллектуальной собственности, государственных тайн), финансовые киберпреступления (кража криптовалюты, вымогательство), цепочки поставок (supply chain attacks).

Руководящий состав и ключевые операторы (по материалам акта обвинения США 2020–2021 гг.)

В сентябре 2020 года Министерство юстиции США возбудило дело против группы хакеров, связанных с в/ч 61460. В акте обвинения (Indictment) были названы имена конкретных лиц, занимавших руководящие посты или являвшихся старшими операторами/менеджерами проектов внутри структуры.

Чжан Хаоран (Zhang Haoran / )

• Роль: Описывается как старший офицер / менеджер проектов, курирующий операции по кибершпионажу и финансовым атакам.
• Деятельность: Координировал атаки на игровую индустрию (получение виртуальной валюты/активов для реализации), атаки на цепочки поставок ПО, шпионаж за телеком-операторами и правительственными структурами.
• Псевдонимы: «Zhang Hao», «Alex Zhang».

Тан Даилинь (Tan Dailin / )

• Роль: Один из основателей и технических лидеров группы Winnti/APT41. В ранних отчетах (2013–2015 гг.) упоминался как ключевой разработчик вредоносного ПО.
• Связь с в/ч 61460: По данным разведки, нанимался в структуру 11-го бюро (в/ч 61460) примерно в 2013–2014 гг. после деятельности в частной хакерской группе.
• Псевдонимы: «Wicked Rose», «Dailin Tan».

Цзянь Личжи (Jiang Lizhi / )

• Роль: Старший хакер/оператор, отвечавший за разработку и внедрение руткитов, бэкдоров (в частности, семейства PlugX, ShadowPad) и управление инфраструктурой C2 (Command & Control).
• Специализация: Атаки на медицинский сектор, телекомы, высшие учебные заведения.

Цянь Чуань (Qian Chuan / )

• Роль: Оператор, специализировавшийся на компрометации цепочек поставок программного обеспечения (внедрение бэкдоров в легитимные обновления ПО).

Фу Цян (Fu Qiang / ) и Ван Фэн (Wang Feng / )

• Упоминаются в актах обвинения как соучастники, выполнявшие роли проникновения во внутренние сети жертв, повышения привилегий и эксфильтрации данных. Действовали под руководством старших офицеров (Чжан Хаоран и др.).

Организационная структура (реконструированная по OSINT)

На основе анализа инфраструктуры, используемой APT41, и судебных документов, структура в/ч 61460 приблизительно выглядит так:

1. Командование части (Командир / Политический комиссар): Имена не раскрыты в открытых источниках. Вероятно, это старшие офицеры НОАК (старшина/полковник), отвечающие за взаимодействие с 3-м департаментом Генерального штаба и МГБ (Мингосбезопасности) КНР.
2. Начальник 11-го бюро (Техническая разведка): Руководит всеми центрами технической разведки в регионе.
3. Руководство в/ч 61460 (Центр технической разведки):
   • Начальник центра (соответствует роли «менеджера проектов» уровня Чжан Хаоран).
   • Замначальника по операциям (координация APT-кампаний).
   • Замначальника по разработке МПО (Malware Development Team — создание руткитов, загрузчиков, эксплойтов).
4. Оперативные отделения (Teams):
   • Team 1 (Shady/Winnti Core): Разработка платформ (ShadowPad, PlugX), атаки на цепочки поставок.
   • Team 2 (Financial/Crime): Атаки на игровые компании, кража криптовалюты, рэнсомвэр (для маскировки шпионажа или финансирования).
   • Team 3 (Espionage/Strategic): Атаки на госорганы, оборонку, телекомы, здравоохранение (сбор разведданных).

Ключевые операции, атрибутируемые в/ч 61460 (APT41)

Понимание ского состава невозможно без контекста операций, которые они планировали и исполняли:

• Операция «Winnti» (2009–2011 гг.): Атаки на игровые компании (Blizzard, Riot Games, Nexon и др.) для кражи исходного кода и виртуальных активов. Заложила базу для группы.
• Компрометация CCleaner (2017 г.): Внедрение бэкдора в легитимный инсталлятор Piriform (Avast). Пострадало 2,27 млн пользователей, целевая атака на 18 крупных технологических компаний (Google, Microsoft, Cisco, Intel и др.).
• Атаки на цепочки поставок ASUS (ShadowHammer, 2019 г.): Подписание вредоносного обновления Live Update сертификатом ASUS.
• Шпионаж за телеком-операторами (2018–2020 гг.): Масштабная кампания по сбору CDR (Call Detail Records) и отслеживанию передвижений высокопоставленных чиновников в нескольких странах Азии и Ближнего Востока.
• Эксплуатация уязвимостей Log4j (Log4Shell, декабрь 2021 г.): Мгновенное использование нулевого дня для компрометации серверов по всему миру.
• Атаки на здравоохранение и вакцины от COVID-19 (2020–2021 гг.): Попытки кражи данных о вакцинах и методах лечения.

Методология управления и взаимодействие с МГБ КНР

Уникальной чертой в/ч 61460 (APT41) является гибридная модель:

1. Государственные заказы (НОАК / 3-е управление Генштаба): Стратегический шпионаж, военная разведка, подготовка театров военных действий (pre-positioning). Командиры отчитываются перед военным командованием.
2. Коммерческая деятельность / «Moonlighting» (МГБ КНР / Частные контракты): Группа исторически занималась киберпреступностью (игры, крипта, вымогательство) либо по прямому указанию МГБ (разведка за оплатой), либо для личного обогащения ключевых операторов (Тан Даилинь, Чжан Хаоран) с молчаливого согласия командования части. Это создает сложную структуру подчиненности, где «командир» может не контролировать финансовые потоки своих подчиненных.

Текущий статус (на 2026 год)

• Санкции: Все вышеупомянутые лица (Чжан Хаоран, Тан Даилинь, Цзянь Личжи, Цянь Чуань, Фу Цян, Ван Фэн) находятся в списке розыска FBI (FBI Cyber’s Most Wanted) и под санкциями OFAC (Department of Treasury).
• Ротация кадров: После публичных обвинений 2020–2021 гг. и раскрытия инфраструктуры (отчеты Mandiant, Microsoft, Google TAG) наблюдается ротация тактических номеров, смена инфраструктуры C2 и, вероятно, замена тактического номера части (возможные новые номера: 61460 может быть заменен на 617xx или 620xx серии, однако 61460 остается историческим идентификатором APT41).
• Командир части: Имя текущего командира (полковника/старшего офицера) в открытую не попало. По стандартной практике НОАК, командиры частей уровня «Центр технической разведки» обычно имеют звание старшего полковника или полковника и назначаются на 3–5 лет.

В/ч 61460 остается одной из самых активных и опасных киберразведывательных единиц в мире. Ее уникальность — в сочетании государственных задач шпионажа с агрессивной киберпреступностью. Хотя имена тактических руководителей операций (Чжан Хаоран, Тан Даилинь и др.) известны благодаря работе спецслужб США и частных компаний, имя текущего командира части (командира в/ч 61460) остается классифицированной информацией как китайской стороны, так и зарубежных разведывательных сообществ.

Для отслеживания активности группы рекомендуется мониторить отчеты Microsoft Threat Intelligence (Brass Typhoon), Google TAG / Mandiant (APT41), а также бюллетени CISA и НКЦКИ (РФ) об индикаторах компрометации (IoC), связанных с семействами вредоносного ПО ShadowPad, PlugX, Cobalt Strike (модифицированные версии), KeyPlug.

Дисклеймер: Статья составлена исключительно на основе открытых источников (OSINT): публичных актов обвинения US DoJ, отчетов Mandiant/Google/Microsoft, материалов Bellingcat/The Insider, открытых данных FBI. Официальные лица ПРК и НОАК не подтверждали принадлежность в/ч 61460 к APT41.