В Solar 4RAYS выявили опасное для большинства компаний в России шпионское ПО
- CNews FORUM 12 ноября
- CNews AWARDS 12 ноября
- Школа Роста
- КИИ в облаке
- 10 лет российского бэкапа
- SDN: Сеть как дом
- История облаков
- 30 лет ERP России
- Цифровизация
- Импортозамещение
- Безопасность
- ИТ в госсекторе
- ИТ в банках
- ИТ в торговле
- Телеком
- ИТ-бизнес
- Рейтинги
|
Новая шпионская программа RFRx003 потенциально угрожает всем российским компаниям с серверной инфраструктурой на базе Linux. В России уже зафиксирована по меньшей мере одна кибератака с ее использованием: злоумышленники несколько месяцев незаметно находились в сети ИТ-компании и крали данные из почтовых ящиков сотрудников, говорится в расследовании Центра исследования киберугроз Solar 4RAYS ГК «Солар». Об этом CNews сообщили представители «Солар».
RFRx003 относится к классу бэкдоров (программ, которые дают злоумышленнику скрытый удаленный доступ к зараженному компьютеру). Он умеет выполнять команды на взломанном сервере, читать, скачивать и отправлять файлы, а также собирать сведения о системе. Кроме того, он создает туннели (скрытые каналы связи), по которым атакующие переходят с одного компьютера внутренней сети на другой.
Бэкдор тщательно маскируется, сказал эксперт группы расследования инцидентов Центра исследования киберугроз Solar 4RAYS ГК «Солар» Владимир Духанин. В расследованном инциденте один из экземпляров вредоноса запускался через сервис, имитирующий штатную службу синхронизации времени в Linux. Сетевые запросы RFRx003 выглядели как обращения обычной системной утилиты, при этом загрузка файлов тоже маскировалась под легитимный процесс – запрос аватара пользователя. Вместе с тем, бэкдор отключает запись истории введенных команд, что тоже усложняет его выявление.
«Инструменты расследованной нами атаки не совпадают ни с одним из ранее публично описанных наборов вредоносного ПО. Это говорит о том, что RFRx003 является уникальным бэкдором, написанным специально для долгого и скрытного присутствия в сетях жертв. Наш анализ вредоноса позволяет сделать вывод, что у злоумышленников есть большой опыт работы с Linux и хорошее понимание слабых мест корпоративных средств защиты. Судя по профессионализму действий атакующих, мы можем предположить, что за расследованным инцидентом может стоять хакерская APT-группа. С учетом подхода к созданию ВПО, тактикам, техникам и процедурам атакующих, выявленная нами кампания и вредонос представляют существенную угрозу для российских компаний», – сказал Владимир Духанин.
По его словам, потенциально RFRx003 угрожает компаниям в России, в серверной инфраструктуре которых используется Linux или ОС на базе ядра Linux, а таких большинство. Эксперты Solar 4RAYS обнаружили RFRx003 в 2026 году, расследуя инцидент в одной из российских ИТ-компаний. Анализ инфраструктуры предприятия и активности атакующих показал, что с помощью бэкдора злоумышленники несколько месяцев незаметно находились в сети компании и похищали данные из почтовых ящиков сотрудников.
«Чтобы защититься от RFRx003, компаниям стоит отслеживать в своей инфраструктуре индикаторы компрометации (признаки взлома), которые мы опубликовали в расследовании. Кроме того, мы рекомендуем использовать антивирусное ПО и решения класса EDR (системы, которые выявляют подозрительную активность на серверах и рабочих компьютерах и помогают на нее реагировать) вроде Solar EDR для Linux», – сказал Владимир Духанин.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.