Новая шпионская программа RFRx003 потенциально угрожает всем российским компаниям с серверной инфраструктурой на базе Linux. В России уже зафиксирована по меньшей мере одна кибератака с ее использованием: злоумышленники несколько месяцев незаметно находились в сети ИТ-компании и крали данные из почтовых ящиков сотрудников. Об этом говорится в расследовании Центра исследования киберугроз Solar 4RAYS ГК «Солар», ведущего провайдера комплексной кибербезопасности в России.
RFRx003 относится к классу бэкдоров (программ, которые дают злоумышленнику скрытый удаленный доступ к зараженному компьютеру). Он умеет выполнять команды на взломанном сервере, читать, скачивать и отправлять файлы, а также собирать сведения о системе. Кроме того, он создает туннели (скрытые каналы связи), по которым атакующие переходят с одного компьютера внутренней сети на другой.
Бэкдор тщательно маскируется, отмечает эксперт группы расследования инцидентов Центра исследования киберугроз Solar 4RAYS ГК «Солар» Владимир Духанин. В расследованном инциденте один из экземпляров вредоноса запускался через сервис, имитирующий штатную службу синхронизации времени в Linux. Сетевые запросы RFRx003 выглядели как обращения обычной системной утилиты, при этом загрузка файлов тоже маскировалась под легитимный процесс – запрос аватара пользователя. Вместе с тем, бэкдор отключает запись истории введенных команд, что тоже усложняет его выявление.
«Инструменты расследованной нами атаки не совпадают ни с одним из ранее публично описанных наборов вредоносного ПО. Это говорит о том, что RFRx003 является уникальным бэкдором, написанным специально для долгого и скрытного присутствия в сетях жертв. Наш анализ вредоноса позволяет сделать вывод, что у злоумышленников есть большой опыт работы с Linux и хорошее понимание слабых мест корпоративных средств защиты. Судя по профессионализму действий атакующих, мы можем предположить, что за расследованным инцидентом может стоять хакерская APT-группа. С учетом подхода к созданию ВПО, тактикам, техникам и процедурам атакующих, выявленная нами кампания и вредонос представляют существенную угрозу для российских компаний», — сказал Владимир Духанин.
По его словам, потенциально RFRx003 угрожает компаниям в России, в серверной инфраструктуре которых используется Linux или ОС на базе ядра Linux, а таких большинство. Эксперты Solar 4RAYS обнаружили RFRx003 в 2026 году, расследуя инцидент в одной из российских ИТ-компаний. Анализ инфраструктуры предприятия и активности атакующих показал, что с помощью бэкдора злоумышленники несколько месяцев незаметно находились в сети компании и похищали данные из почтовых ящиков сотрудников.
«Чтобы защититься от RFRx003, компаниям стоит отслеживать в своей инфраструктуре индикаторы компрометации (признаки взлома), которые мы опубликовали в расследовании. Кроме того, мы рекомендуем использовать антивирусное ПО и решения класса EDR (системы, которые выявляют подозрительную активность на серверах и рабочих компьютерах и помогают на нее реагировать) вроде Solar EDR для Linux», — отметил Владимир Духанин.
Возврат к списку