Граница между кибервойной и традиционными боевыми действиями стремительно исчезает. Исследование угроз, проведенное аналитиками Amazon, выявило новую тревожную тенденцию: государственные хакеры систематически используют кибератаки для подготовки и усиления физических нападений. Традиционные подходы к кибербезопасности часто рассматривают цифровые и физические угрозы как отдельные домены.
Описание
Однако работа специалистов Amazon демонстрирует, что это разделение становится все более искусственным. Многочисленные группировки, связанные с национальными государствами, разрабатывают новую операционную модель, при которой киберразведка напрямую обеспечивает физическое нападение.
AWS Security наблюдают фундаментальный сдвиг в методах ведения войны. Речь идет не просто о кибератаках, которые случайно причиняют физический ущерб. Это скоординированные кампании, где цифровые операции специально разработаны для поддержки конкретных военных целей. Способность Amazon Threat Intelligence идентифицировать такие кампании основана на уникальной позиции компании в глобальном ландшафте угроз. Например, телеметрия глобальных облачных операций обеспечивает видимость угроз в разнородных средах. Дополнительно используются данные honeypot-систем MadPot, которые позволяют обнаруживать подозрительные паттерны, инфраструктуру злоумышленников и сетевые маршруты, используемые в этих гибридных кампаниях.
Опциональные данные клиентов предоставляют информацию о реальных попытках атак. Более того, сотрудничество с ведущими организациями по информационной безопасности и правительственными агентствами дает дополнительный контекст. Благодаря такому многоканальному подходу Amazon может соединять разрозненные данные, которые остаются невидимыми для отдельных организаций или даже изолированно работающих государственных структур.
Первый показательный пример касается группировки Imperial Kitten. Хронология событий наглядно показывает прогрессию от цифровой разведки до физической атаки. Четвертого декабря 2021 года Imperial Kitten скомпрометировала платформу системы автоматической идентификации морского судна, получив доступ к критической судоходной инфраструктуре. Команда Amazon Threat Intelligence выявила инцидент и помогла пострадавшей организации устранить последствия.
Четырнадцатого августа 2022 года злоумышленники расширили таргетирование, получив доступ к камерам видеонаблюдения на борту другого судна. Это предоставило им визуальную разведку в реальном времени. Двадцать седьмого января 2024 года Imperial Kitten целенаправленно искала данные о местоположении конкретного судна через AIS. Это обозначило явный переход от широкой разведки к целевому сбору информации. Первого февраля 2024 года Центральное командование США сообщило о ракетном ударе именно по тому судну, за которым следила группировка. Хотя удар оказался безрезультатным, корреляция между киберразведкой и кинетической атакой неоспорима.
Данный случай демонстрирует, как кибероперации предоставляют противникам точные разведданные для проведения целевых физических атак на морскую инфраструктуру, являющуюся критическим компонентом глобальной торговли и военной логистики.
Второй пример связан с группировкой MuddyWater. Этот случай раскрывает еще более прямую связь между кибероперациями и физическим нападением. Тринадцатого мая 2025 года MuddyWater развернула сервер специально для проведения сетевых операций. Семнадцатого июня злоумышленники использовали свою инфраструктуру для доступа к другому скомпрометированному серверу, содержащему прямые видеотрансляции с камер наблюдения в Иерусалиме. Это обеспечило им визуальную разведку в реальном времени.
Двадцать третьего июня 2025 года Иран нанес массированный ракетный удар по Иерусалиму. В тот же день израильские власти сообщили, что иранские силы использовали скомпрометированные камеры видеонаблюдения для сбора информации и корректировки целей. Совпадение во времени не случайно. Как сообщало издание The Record, израильские официальные лица призвали граждан отключать интернет-камеры, предупреждая, что Иран использует их для сбора разведданных.
Исследование Amazon раскрывает сложную техническую инфраструктуру, поддерживающую такие операции. Злоумышленники применяют многоуровневый подход. Они маршрутизируют трафик через анонимизирующие VPN-сети, чтобы скрыть свое происхождение. Кроме того, используются управляемые злоумышленниками серверы для обеспечения устойчивого доступа. Конечной целью становятся скомпрометированные корпоративные системы, такие как серверы с камерами наблюдения или морскими платформами. Прямые трансляции с захваченных камер предоставляют действенную разведку для почти мгновенной корректировки атак.
Исследовательская команда предлагает новую терминологию для описания этих гибридных операций. Традиционные концепции оказываются недостаточными. Например, кибер-физические операции обычно относятся к кибератакам, причиняющим физический ущерб системам. Гибридная война является слишком широким понятием. Специалисты Amazon предлагают термин "кибер-физическое таргетирование" для кампаний, где кибероперации специально разработаны для обеспечения и усиления обычных военных действий.
Для сообщества кибербезопасности это исследование служит одновременно предупреждением и призывом к действию. Защитники должны адаптировать свои стратегии к угрозам, охватывающим как цифровые, так и физические домены. Организации, которые исторически считали себя неинтересными для злоумышленников, теперь могут стать мишенями для сбора тактической разведки. Необходимо расширить модели угроз, усилить обмен информацией и разработать новые защитные стратегии, учитывающие реальность кибер-физического таргетирования.
Расширенное моделирование угроз требует учета не только прямого воздействия кибератак, но и того, как скомпрометированные системы могут быть использованы для поддержки физических нападений. Операторы морских систем, городских сетей наблюдения и другой критической инфраструктуры должны осознавать, что их активы ценны не только для шпионажа, но и как инструменты наведения. Приведенные примеры демонстрируют критическую важность обмена разведданными между частным сектором, государственными агентствами и международными партнерами. Когда кибероперации напрямую обеспечивают физические атаки, фреймворки атрибуции и реагирования усложняются, требуя координации между кибербезопасностью, военными и дипломатическими каналами.
В перспективе кибер-физическое таргетирование будет становиться все более распространенным среди различных противников. Государственные акторы признают эффект усиления от сочетания цифровой разведки с физическими ударами. Эта тенденция представляет собой фундаментальную эволюцию в ведении войны, где традиционные границы между кибероперациями и боевыми действиями окончательно стираются.
Индикаторы компрометации
IPv4
- 18.219.14.54
- 37.120.233.84
- 85.239.63.179
- 95.179.207.105
