Аналитики Insikt Group зафиксировали масштабную кампанию кибератак, проводимых российской хактивистской группировкой NoName057(16) против европейских государственных и публичных организаций. За последние 13 месяцев (с 1 июля 2024 по 14 июля 2025 года) было атаковано более 3700 уникальных хостов, причем основными целями стали страны, выступающие против вторжения России в Украину. Эта группа появилась в марте 2022 года, всего через несколько дней после начала полномасштабного вторжения, и с тех пор ведет скоординированные распределенные атаки типа "отказ в обслуживании" (DDoS) через свою платформу DDoSia, управляемую волонтерами.
Описание
Группа демонстрирует высокую активность, в среднем атакуя 50 уникальных целей в день, при этом пики активности совпадают с ключевыми геополитическими событиями в Украине. Анализ инфраструктуры показал, что NoName057(16) использует многоуровневую систему серверов: быстро сменяемые серверы командования и управления (C2) первого уровня и защищенные списками контроля доступа (ACLs) серверы второго уровня, что позволяет поддерживать стабильность работы. Кроме того, анализ активности указывает на то, что группировка действует из российской временной зоны.
Ключевые цели и методы атак
Основной удар NoName057(16) направлен на государственные и публичные организации. На их долю приходится 41,09% всех атак. Далее следуют транспортно-логистический сектор (12,44%) и сфера технологий, медиа и коммуникаций (10,19%). Географически наибольшее количество атак пришлось на Украину (29,47%), за ней следуют Франция (6,09%), Италия (5,39%) и Швеция (5,29%). Примечательно, что США, несмотря на активную поддержку Украины, не входят в число основных целей группировки.
Группировка использует платформу DDoSia, которая представляет собой усовершенствованный инструмент для DDoS-атак, заменивший предыдущий ботнет Bobik. Этот инструмент позволяет атаковать веб-ресурсы, перегружая их огромным количеством запросов. DDoSia - это не просто программа, а целая экосистема, включающая инфраструктуру, волонтеров и координационные каналы. Клиентское приложение написано на языке Go и взаимодействует с сервером C2 для получения списка целей. Уникальной особенностью является использование "User Hash" - идентификатора, который получают волонтеры после регистрации через Telegram-бота DDoSia Project. Этот механизм затрудняет анализ работы группы для исследователей кибербезопасности.
Геополитический контекст и реакция на действия правоохранителей
NoName057(16) действует в рамках российской гибридной войны, сочетая кибератаки, дезинформацию и другие асимметричные методы воздействия. Группа открыто поддерживает российскую повестку, а в своих Telegram-каналах называет атаки "ответом на действия противников России". Например, атаки на Литву объяснялись как "месть за Калининград" после введения санкций ЕС, а атаки на Данию - как реакция на поддержку Украины.
В середине июля 2025 года международные правоохранительные органы провели операцию Eastwood против NoName057(16). Были произведены аресты в Испании и Франции, выданы ордера на задержание в Германии и Испании, а также проведены обыски в Чехии, Италии, Польше и других странах. Однако группировка не восприняла это всерьез, заявив в своем Telegram-канале, что продолжит "информационную войну" в поддержку России.
Вывод
NoName057(16) остается серьезной угрозой для организаций в странах, противостоящих России. Группировка действует скоординированно, используя как технические методы, так и информационное воздействие. В условиях гибридной войны государствам и компаниям необходимо укреплять киберзащиту и сотрудничать с правоохранительными структурами, чтобы противостоять подобным угрозам, которые, вероятно, будут сохраняться еще долгое время.
Индикаторы компрометации
Технический отчет
