Эксперты центра исследования киберугроз Solar 4RAYS ГК «Солар» снова обнаружили шпионскую атаку APT-группы NGC5081 — на этот раз в сети одной из крупных российских компаний. Хакеры вернулись с обновленным шпионским бэкдором IDFKA, который отсылает к игре Doom, а ошибки в коде указывают на наличие как минимум одного испаноязычного хакера в группировке. Злоумышленники доработали свои тактики и сам вредонос, из-за чего их стало сложнее выявлять. Об этом специалисты центра рассказали в рамках SOC Forum 2026.
Новая игра
IDFKA — разработанный группировкой NGC5081 бэкдор (вредоносная программа для скрытого удаленного доступа). Он позволяет атакующим удаленно управлять зараженной системой, изучать содержимое компьютеров и серверов, перемещаться между ними и красть данные. Впервые Solar 4RAYS обнаружили и описали его в расследовании атаки через подрядчика на несколько компаний РФ в 2025 году. Тогда IDFKA позволил злоумышленникам незаметно оставаться в инфраструктуре подрядчика не менее 10 месяцев.
С новым образцом IDFKA эксперты столкнулись в июне 2026 года. Служба информационной безопасности (ИБ) крупной российской компании обнаружила на одном из своих серверов подозрительный файл. Эксперты Solar 4RAYS определили в нем новую версию IDFKA, бэкдора, которым, кроме NGC5081, никто не пользуется.
После в Solar 4RAYS решили проверить всю инфраструктуру компании на другие следы NGC5081. Результат оказался неутешительным. С мая по июль 2026 года запущенные похожим образом процессы IDFKA нашлись в нескольких десятках систем.
Дальнейшее расследование показало, что проникновение в компанию случилось гораздо раньше, еще весной 2024 года. Оно произошло через уязвимый веб-сервис, доступный из интернета. С тех пор и вплоть до обнаружения злоумышленники перемещались по сети организации и закреплялись в ней с целью шпионажа.
Работа над ошибками
Закрепление стало главным изменением в тактике NGC5081. После проникновения злоумышленники загрузили в сеть атакованной компании заранее измененные штатные утилиты. Внутри них была спрятана функция, которая скрытно скачивала и запускала IDFKA с сервера злоумышленниковпод видом легитимных процессов. Сервер управления одного из таких образцов совпал с уже известным сервером IDFKA. Поэтому специалисты назвали измененные утилиты как IDFKA Dropper.
IDFKA Dropper позволил NGC5081 снова и снова загружать и запускать свой бэкдор на скомпрометированных системах. В инциденте 2025 года APT-группа почти не использовала отдельные механизмы закрепления – бэкдор работал в оперативной памяти. Избавиться от него можно было обычной перезагрузкой сервера. Теперь появился отдельный инструмент, который использует псевдолегитимные программы для повторного запуска вредоносного кода.
«Как и в предыдущих инцидентах, NGC5081 продолжают держать высокую планку в сложности атак, делая упор на скрытность. Примечательно, что в прошлых инцидентах мы видели минимум закрепления от данной группировки, однако в текущем кейсе атакующие стали использовать IDFKA Dropper. Если посмотреть на общую хронологию всех инцидентов NGC5081, обновленный вредонос хакеры начали размещать в инфраструктуре компании, сразу после завершения нашего предыдущего расследования и выпуска публичного отчета по этой же группировке в 2025 году. Похоже, что атакующие пересмотрели свой подход к закреплению после потери доступа сразу к нескольким своим жертвам и изучения допущенных ошибок, на которые мы указали в расследовании».
Денис Чернов, старший инженер центра исследования киберугроз Solar 4RAYS ГК «Солар»
В расследовании центра также отмечается, что NGC5081 по-прежнему не атрибутирована к какому-либо региону или известной группировке. Однако в текстовых сообщениях об ошибках, которые IDFKA отправляло злоумышленникам, специалисты нашли много необычных опечаток в английских словах. Они могут указывать на родной — испанский — язык как минимум одного из разработчиков. В меньшем количестве замечены ошибки, специфика которых указывает на португальский и французский языки.
IDFKA стал IDKFA
Одним из ключевых изменений новой версии бэкдора стал разросшийся набор команд и сетевых режимов. Чем больше команд, тем функциональнее вредонос. Чем больше сетевых режимов, тем больше у него способов обмениваться данными и обходить ограничения. Число команд управления выросло с 24 до 40, а сетевых режимов — с 11 до 15.
Новые команды исследователи разделили на несколько групп: разведка, работа с файлами, управление самим вредоносом и сокрытие процессов. Сокрытие дошло до маскировки на уровне ядра операционной системы — части, где ВПО выявить сложнее всего. По сути, после того как особенности IDFKA были подробно описаны в предыдущем расследовании, в новой версии появились дополнительные способы затруднить его поиск и анализ.
След «работы над ошибками» эксперты заметили и в мелочах. Еще в 2025 году в Solar 4RAYS предположили, что имя IDFKA (встречается в коде ВПО) отсылает к чит-коду IDKFA из культовой компьютерной игры Doom (1993), которые дает игроку все оружие и ключи. Смущала лишь перестановка букв, на которую обратили внимание в отчете. В новой версии злоумышленники использовали уже «правильный» идентификатор — IDKFA — будто исправив ту самую опечатку по указанию специалистов «Солара».
«Новая версия IDFKA показывает последовательное развитие универсального Linux-бэкдора и не выглядит как минорное обновление. Она сохранила основу прежнего бэкдора, но изменила именно те особенности, которые годом ранее были подробно нами разобраны».
Алексей Хабаров, аналитик вредоносного ПО центра исследования киберугроз Solar 4RAYS ГК «Солар»
Специалисты Solar 4RAYS помогли удалить вредоносное ПО и зачистить инфраструктуру атакованной компании от следов присутствия NGC5081. В дополнение эксперты обновили индикаторы компрометации и Yara-правила (наборы условий для автоматического поиска вредоносных файлов по характерным признакам их кода) для выявления бэкдора.
Для защиты от IDFKA эксперты Solar 4RAYS рекомендуют:
- осуществлять мониторинг ИT-инфраструктуры на предмет обращения к известным управляющим серверам NGC5081;
- использовать комплексные средства защиты от киберугроз вроде Solar JSOC, Solar TI Feeds, WAF и сервиса выявления следов компрометации Compromise Assessment;
- регулярно проводить оценку компрометации инфраструктуры.