Координационные удары вооружённых сил США и Израиля по Ирану в конце февраля 2026 года, известные как операция «Epic Fury» и «Lion’s Roar», вышли далеко за рамки военной операции. Помимо физического уничтожения ключевых объектов и высшего военно-политического руководства, атаки нанесли беспрецедентный удар по кибервозможностям Тегерана. Однако эксперты в области информационной безопасности предупреждают, что это не означает прекращения угроз. Напротив, разрушение централизованного командования и инфраструктуры с высокой вероятностью сместит вектор кибератак в сторону асимметричных действий через прокси-группы и полуавтономные хактивистские формирования, что создаёт новые вызовы для глобальных защитников.
Описание
В отличие от традиционных военных активов, киберпотенциал государства распределён и обладает значительной инерционностью. Тем не менее, по оценкам аналитиков, текущие удары, сочетающие кинетическое воздействие, кибероперации и операции в космической сфере, могут отбросить развитие иранской государственной киберпрограммы на один-три года. Ключевым фактором стало почти полное отключение интернета в стране, при котором уровень подключения упал до однозначных процентов от нормы. Мониторинговые группы, такие как NetBlocks, фиксируют практически нулевой трафик у крупнейших провайдеров, включая Telecommunication Company of Iran (AS58224). Такой «блэкаут», с одной стороны, является оборонительной мерой, сокращающей поверхность атаки. С другой, он создаёт эффект воронки, когда весь исходящий трафик вынужденно проходит через немногочисленные разрешённые правительством каналы связи. Это, в свою очередь, облегчает для разведслужб США и Израиля мониторинг и анализ оставшейся активности.
Генерал Дэн Кейн, председатель Объединённого комитета начальников штабов США, подтвердил в своём обращении, что операция началась именно с действий Киберкомандования США (USCYBERCOM) и Космического командования (USSPACECOM), которые нанесли «некинетические эффекты, нарушив, деградировав и ослепив способность Ирана видеть, общаться и реагировать». Это привело к разрыву в коммуникациях между руководством, выходу из строя сегментов национального интранета и нестабильности критически важных сервисов, что в краткосрочной перспективе парализовало возможность скоординированных наступательных киберопераций государственного масштаба. Однако именно эта децентрализация и делает угрозу устойчивой. Исторически иранские группы угроз, классифицируемые как APT («продвинутая постоянная угроза»), часто действуют полуавтономно. Их тактики, технические приёмы и процедуры (TTP) хорошо задокументированы в рамках таких фреймворков, как MITRE ATT&CK.
Среди ключевых игроков, от которых можно ожидать ответных действий, - Charming Kitten, специализирующаяся на целевом фишинге и компрометации почты для доставки шпионского ПО, и Refined Kitten, известная применением виперов (wiper) - вредоносного программного обеспечения для безвозвратного уничтожения данных, такого как SHAMOON. Группы OilRig, Static Kitten и Pioneer Kitten также обладают отработанными методами для кибершпионажа, атак на промышленные системы (OT) и развёртывания программ-вымогателей. Примечательно, что многие из этих коллективов, такие как Moses Staff, CyberAv3ngers и Handala, уже давно маскируют свою деятельность под хактивизм, сопровождая атаки идеологической пропагандой и утечками данных в Telegram-каналах. В условиях ослабления центрального командования именно такие группы, вероятно, проявят наибольшую активность, стремясь продемонстрировать свою значимость и продолжить сопротивление.
Более серьёзную проблему представляют прокси-группы и стратегические союзники Ирана, действующие за его пределами. Такие формирования, как Fatimiyoun Electronic Team или панисламистские коллективы вроде Islamic Hacker Army, базирующиеся в Северной Африке, Европе или Юго-Восточной Азии, используют глобальную облачную инфраструктуру и диаспорные сети. Это затрудняет их отслеживание и атрибуцию, предоставляя Тегерану правдоподобное отрицание причастности. Речь может идти о передаче инструментов для атак, разведданных для выбора целей или киберзащите критической иранской инфраструктуры в рамках ранее заключённых соглашений о сотрудничестве. Подобная поддержка способна ускорить восстановление потенциала иранских APT в среднесрочной перспективе.
Таким образом, для специалистов по безопасности текущая ситуация создаёт парадоксальную картину. С одной стороны, непосредственная угроза масштабных, хорошо скоординированных кибератак непосредственно с иранской территории временно снизилась из-за разрушения инфраструктуры и управления. С другой стороны, угроза стала более диффузной, непредсказуемой и трудноатрибутируемой, сместившись к прокси-группам и хактивистам. В ближайшие недели и месяцы наиболее вероятными сценариями являются волны DDoS-атак, дефейсы сайтов, целевые фишинговые кампании против организаций, связанных с США и Израилем, а также попытки атак на операционные технологии (OT) в энергетическом и водном секторе с использованием уже известных уязвимостей в промышленных контроллерах. В условиях, когда конфликт неизбежно переливается в киберпространство, устойчивость организаций будет зависеть от готовности к длительной, изматывающей асимметричной активности.
Индикаторы компрометации
SHA256
- 07384ab4488ea795affc923851e00ebc2ead3f01b57be6bf8358d7659e9ee407
- 0e51029ba28243b0a6a071713c17357a8eb024aa4298d1ccc9e2c4ac8916df4d
- 19001dd441e50233d7f0addb4fcd405a70ac3d5e310ff20b331d6f1a29c634f0
- 1b39f9b2b96a6586c4a11ab2fdbff8fdf16ba5a0ac7603149023d73f33b84498
- 2ac7df27bbb911f8aa52efcf67c5dc0e869fcd31ff79e86b6bd72063992ea8ad
- 3555728fb51dd3eaeb34a5c6aaf445e63cc93ece2bf560cf0c673a0d38c6e5d1
- 3a052d56706a67f918ed3a9acec9a2da428a20065e261d8e40b73badb4c9d7f4
- 4491901eff338ab52c85a77a3fbd3ce80fda738046ee3b7da7be468da5b331a3
- 454e6d3782f23455875a5db64e1a8cd8eb743400d8c6dadb1cd8fd2ffc2f9567
- 5404e39f2f175a0fc993513ee52be3679a64c69c79e32caa656fbb7645965422
- 5df724c220aed7b4878a2a557502a5cefee736406e25ca48ca11a70608f3a1c0
- 73c677dd3b264e7eb80e26e78ac9df1dba30915b5ce3b1bc1c83db52b9c6b30e
- 94278fa01900fdbfb58d2e373895c045c69c01915edc5349cd6f3e5b7130c472
- 960d4c9e79e751be6cad470e4f8e1d3a2b11f76f47597df8619ae41c96ba5809
- 96dec6e07229201a02f538310815c695cf6147c548ff1c6a0def2fe38f3dcbc8
- 9fc0f2a57aafa9100eefb7019f15b96919eea5ee5d607441ceeaaafd8bcc92a2
- B8703744744555ad841f922995cef5dbca11da22565195d05529f5f9095fbfca
- bd1f0fb085c486e97d82b6e8acb3977497c59c3ac79f973f96c395e7f0ca97f8
- c99cc10f15f655f36314e54f7013a0bc5df85f4d6ff7f35b14a446315835d334
- ca9bf13897af109cb354f2629c10803966eb757ee4b2e468abc04e7681d0d74a
- cafa8038ea7e46860c805da5c8c1aa38da070fa7d540f4b41d5e7391aa9a8079
- dbdb14e37fc4412711a1e5e37e609e33410de31de13911aee99ab473753baa4a
- e28085e8d64bb737721b1a1d494f177e571c47aab7c9507dba38253f6183af35
- fe07dca68f288a4f6d7cbd34d79bb70bc309635876298d4fde33c25277e30bd2
- ff15558085d30f38bc6fd915ab3386b59ee5bb655cbccbeb75d021fdd1fde3ac
