«Солар»: фанатеющие от Doom хакеры вернулись в Россию и заговорили на испанском

• CNews FORUM 12 ноября
• CNews AWARDS 12 ноября
• Школа Роста
• СУБД в эпоху ИИ
• КИИ в облаке
• 10 лет российского бэкапа
• SDN: Сеть как дом
• История облаков
• 30 лет ERP России
• Цифровизация
• Импортозамещение
• Безопасность
• ИТ в госсекторе
• ИТ в банках
• ИТ в торговле
• Телеком
• ИТ-бизнес
• Рейтинги

26 Октября 2026 13:14 26 Окт 2026 13:14 |

Эксперты центра исследования киберугроз Solar 4RAYS ГК «Солар» снова обнаружили шпионскую атаку APT-группы NGC5081 – на этот раз в сети одной из крупных российских компаний. Хакеры вернулись с обновленным шпионским бэкдором IDFKA, который отсылает к игре Doom, а ошибки в коде указывают на наличие как минимум одного испаноязычного хакера в группировке. Злоумышленники доработали свои тактики и сам вредонос, из-за чего их стало сложнее выявлять. Об этом CNews сообщили представители «Солар».

Новая игра

IDFKA – разработанный группировкой NGC5081 бэкдор (вредоносная программа для скрытого удаленного доступа). Он позволяет атакующим удаленно управлять зараженной системой, изучать содержимое компьютеров и серверов, перемещаться между ними и красть данные. Впервые Solar 4RAYS обнаружили и описали его в расследовании атаки через подрядчика на несколько компаний в России в 2025 г. Тогда IDFKA позволил злоумышленникам незаметно оставаться в инфраструктуре подрядчика не менее 10 месяцев.

С новым образцом IDFKA эксперты столкнулись в июне 2026 г. Служба информационной безопасности (ИБ) крупной российской компании обнаружила на одном из своих серверов подозрительный файл. Эксперты Solar 4RAYS определили в нем новую версию IDFKA, бэкдора, которым, кроме NGC5081, никто не пользуется.

После в Solar 4RAYS решили проверить всю инфраструктуру компании на другие следы NGC5081. Результат оказался неутешительным. С мая по июль 2026 года запущенные похожим образом процессы IDFKA нашлись в нескольких десятках систем.

Дальнейшее расследование показало, что проникновение в компанию случилось гораздо раньше, еще весной 2024 года. Оно произошло через уязвимый веб-сервис, доступный из интернета. С тех пор и вплоть до обнаружения злоумышленники перемещались по сети организации и закреплялись в ней с целью шпионажа.

Работа над ошибками

Закрепление стало главным изменением в тактике NGC5081. После проникновения злоумышленники загрузили в сеть атакованной компании заранее измененные штатные утилиты. Внутри них была спрятана функция, которая скрытно скачивала и запускала IDFKA с сервера злоумышленников под видом легитимных процессов. Сервер управления одного из таких образцов совпал с уже известным сервером IDFKA. Поэтому специалисты назвали измененные утилиты как IDFKA Dropper.

IDFKA Dropper позволил NGC5081 снова и снова загружать и запускать свой бэкдор на скомпрометированных системах. В инциденте 2025 г. APT-группа почти не использовала отдельные механизмы закрепления – бэкдор работал в оперативной памяти. Избавиться от него можно было обычной перезагрузкой сервера. Теперь появился отдельный инструмент, который использует псевдолегитимные программы для повторного запуска вредоносного кода.

«Как и в предыдущих инцидентах, NGC5081 продолжают держать высокую планку в сложности атак, делая упор на скрытность. Примечательно, что в прошлых инцидентах мы видели минимум закрепления от данной группировки, однако в текущем кейсе атакующие стали использовать IDFKA Dropper. Если посмотреть на общую хронологию всех инцидентов NGC5081, обновленный вредонос хакеры начали размещать в инфраструктуре компании, сразу после завершения нашего предыдущего расследования и выпуска публичного отчета по этой же группировке в 2025 году. Похоже, что атакующие пересмотрели свой подход к закреплению после потери доступа сразу к нескольким своим жертвам и изучения допущенных ошибок, на которые мы указали в расследовании», – сказал старший инженер центра исследования киберугроз Solar 4RAYS ГК «Солар» Денис Чернов.

В расследовании центра также отмечается, что NGC5081 по-прежнему не атрибутирована к какому-либо региону или известной группировке. Однако в текстовых сообщениях об ошибках, которые IDFKA отправляло злоумышленникам, специалисты нашли много необычных опечаток в английских словах. Они могут указывать на родной – испанский – язык как минимум одного из разработчиков. В меньшем количестве замечены ошибки, специфика которых указывает на португальский и французский языки.

IDFKA стал IDKFA

Одним из ключевых изменений новой версии бэкдора стал разросшийся набор команд и сетевых режимов. Чем больше команд, тем функциональнее вредонос. Чем больше сетевых режимов, тем больше у него способов обмениваться данными и обходить ограничения. Число команд управления выросло с 24 до 40, а сетевых режимов – с 11 до 15.

Новые команды исследователи разделили на несколько групп: разведка, работа с файлами, управление самим вредоносом и сокрытие процессов. Сокрытие дошло до маскировки на уровне ядра операционной системы – части, где ВПО выявить сложнее всего. По сути, после того как особенности IDFKA были подробно описаны в предыдущем расследовании, в новой версии появились дополнительные способы затруднить его поиск и анализ.

След «работы над ошибками» эксперты заметили и в мелочах. Еще в 2025 г. в Solar 4RAYS предположили, что имя IDFKA (встречается в коде ВПО) отсылает к чит-коду IDKFA из культовой компьютерной игры Doom (1993), которые дает игроку все оружие и ключи. Смущала лишь перестановка букв, на которую обратили внимание в отчете. В новой версии злоумышленники использовали уже «правильный» идентификатор – IDKFA – будто исправив ту самую опечатку по указанию специалистов «Солара».

«Новая версия IDFKA показывает последовательное развитие универсального Linux-бэкдора и не выглядит как минорное обновление. Она сохранила основу прежнего бэкдора, но изменила именно те особенности, которые годом ранее были подробно нами разобраны», – сказал аналитик вредоносного ПО центра исследования киберугроз Solar 4RAYS ГК «Солар» Алексей Хабаров.

Специалисты Solar 4RAYS помогли удалить вредоносное ПО и зачистить инфраструктуру атакованной компании от следов присутствия NGC5081. В дополнение эксперты обновили индикаторы компрометации и Yara-правила (наборы условий для автоматического поиска вредоносных файлов по характерным признакам их кода) для выявления бэкдора.

Для защиты от IDFKA эксперты Solar 4RAYS рекомендуют: осуществлять мониторинг ИТ-инфраструктуры на предмет обращения к известным управляющим серверам NGC5081; использовать комплексные средства защиты от киберугроз; регулярно проводить оценку компрометации инфраструктуры.