Эксперты центра исследования киберугроз Solar 4RAYS ГК «Солар» снова обнаружили шпионскую атаку APT-группы NGC5081 – на этот раз в сети одной из крупных российских компаний. Хакеры вернулись с обновленным шпионским бэкдором IDFKA, который отсылает к игре Doom, а ошибки в коде указывают на наличие как минимум одного испаноязычного хакера в группировке. Злоумышленники доработали свои тактики и сам вредонос, из-за чего их стало сложнее выявлять. Об этом специалисты центра рассказали в рамках SOC Forum 2026.
Новая игра
IDFKA – разработанный группировкой NGC5081 бэкдор (вредоносная программа для скрытого удаленного доступа). Он позволяет атакующим удаленно управлять зараженной системой, изучать содержимое компьютеров и серверов, перемещаться между ними и красть данные. Впервые Solar 4RAYS обнаружили и описали его в расследовании атаки через подрядчика на несколько компаний РФ в 2025 году. Тогда IDFKA позволил злоумышленникам незаметно оставаться в инфраструктуре подрядчика не менее 10 месяцев.
С новым образцом IDFKA эксперты столкнулись в июне 2026 года. Служба информационной безопасности (ИБ) крупной российской компании обнаружила на одном из своих серверов подозрительный файл. Эксперты Solar 4RAYS определили в нем новую версию IDFKA, бэкдора, которым, кроме NGC5081, никто не пользуется.
После в Solar 4RAYS решили проверить всю инфраструктуру компании на другие следы NGC5081. Результат оказался неутешительным. С мая по июль 2026 года запущенные похожим образом процессы IDFKA нашлись в нескольких десятках систем.
Дальнейшее расследование показало, что проникновение в компанию случилось гораздо раньше, еще весной 2024 года. Оно произошло через уязвимый веб-сервис, доступный из интернета. С тех пор и вплоть до обнаружения злоумышленники перемещались по сети организации и закреплялись в ней с целью шпионажа.
Работа над ошибками
Закрепление стало главным изменением в тактике NGC5081. После проникновения злоумышленники загрузили в сеть атакованной компании заранее измененные штатные утилиты. Внутри них была спрятана функция, которая скрытно скачивала и запускала IDFKA с сервера злоумышленников под видом легитимных процессов. Сервер управления одного из таких образцов совпал с уже известным сервером IDFKA. Поэтому специалисты назвали измененные утилиты как IDFKA Dropper.
IDFKA Dropper позволил NGC5081 снова и снова загружать и запускать свой бэкдор на скомпрометированных системах. В инциденте 2025 года APT-группа почти не использовала отдельные механизмы закрепления – бэкдор работал в оперативной памяти. Избавиться от него можно было обычной перезагрузкой сервера. Теперь появился отдельный инструмент, который использует псевдолегитимные программы для повторного запуска вредоносного кода.
«Как и в предыдущих инцидентах, NGC5081 продолжают держать высокую планку в сложности атак, делая упор на скрытность. Примечательно, что в прошлых инцидентах мы видели минимум закрепления от данной группировки, однако в текущем кейсе атакующие стали использовать IDFKA Dropper. Если посмотреть на общую хронологию всех инцидентов NGC5081, обновленный вредонос хакеры начали размещать в инфраструктуре компании, сразу после завершения нашего предыдущего расследования и выпуска публичного отчета по этой же группировке в 2025 году. Похоже, что атакующие пересмотрели свой подход к закреплению после потери доступа сразу к нескольким своим жертвам и изучения допущенных ошибок, на которые мы указали в расследовании», – сказал старший инженер центра исследования киберугроз Solar 4RAYS ГК «Солар» Денис Чернов.
В расследовании центра также отмечается, что NGC5081 по-прежнему не атрибутирована к какому-либо региону или известной группировке. Однако в текстовых сообщениях об ошибках, которые IDFKA отправляло злоумышленникам, специалисты нашли много необычных опечаток в английских словах. Они могут указывать на родной – испанский – язык как минимум одного из разработчиков. В меньшем количестве замечены ошибки, специфика которых указывает на португальский и французский языки.
IDFKA стал IDKFA
Одним из ключевых изменений новой версии бэкдора стал разросшийся набор команд и сетевых режимов. Чем больше команд, тем функциональнее вредонос. Чем больше сетевых режимов, тем больше у него способов обмениваться данными и обходить ограничения. Число команд управления выросло с 24 до 40, а сетевых режимов – с 11 до 15.
Новые команды исследователи разделили на несколько групп: разведка, работа с файлами, управление самим вредоносом и сокрытие процессов. Сокрытие дошло до маскировки на уровне ядра операционной системы – части, где ВПО выявить сложнее всего. По сути, после того как особенности IDFKA были подробно описаны в предыдущем расследовании, в новой версии появились дополнительные способы затруднить его поиск и анализ.
След «работы над ошибками» эксперты заметили и в мелочах. Еще в 2025 году в Solar 4RAYS предположили, что имя IDFKA (встречается в коде ВПО) отсылает к чит-коду IDKFA из культовой компьютерной игры Doom (1993), которые дает игроку все оружие и ключи. Смущала лишь перестановка букв, на которую обратили внимание в отчете. В новой версии злоумышленники использовали уже «правильный» идентификатор – IDKFA – будто исправив ту самую опечатку по указанию специалистов «Солара».
«Новая версия IDFKA показывает последовательное развитие универсального Linux-бэкдора и не выглядит как минорное обновление. Она сохранила основу прежнего бэкдора, но изменила именно те особенности, которые годом ранее были подробно нами разобраны», – сказал аналитик вредоносного ПО центра исследования киберугроз Solar 4RAYS ГК «Солар» Алексей Хабаров.
Специалисты Solar 4RAYS помогли удалить вредоносное ПО и зачистить инфраструктуру атакованной компании от следов присутствия NGC5081. В дополнение эксперты обновили индикаторы компрометации и Yara-правила (наборы условий для автоматического поиска вредоносных файлов по характерным признакам их кода) для выявления бэкдора.
Для защиты от IDFKA эксперты Solar 4RAYS рекомендуют:
- осуществлять мониторинг ИТ-инфраструктуры на предмет обращения к известным управляющим серверам NGC5081;
- использовать комплексные средства защиты от киберугроз вроде Solar JSOC, Solar TI Feeds, WAF и сервиса выявления следов компрометации Compromise Assessment;
- регулярно проводить оценку компрометации инфраструктуры.
Больше деталей расследования – в блоге Solar 4RAYS.
Возврат к списку