Группировка NGC5081 вернулась в российские корпоративные сети с модернизированным вредоносом IDFKA. Исследователи Solar 4RAYS обнаружили, что злоумышленники не только исправили программные ошибки, но и изменили тактику проникновения, используя модифицированные штатные утилиты для закрепления в системе. Инструментарий хакеров прямо отсылает к чит-кодам из культовой игры Doom.
Специалисты Solar 4RAYS выявили присутствие хакеров в инфраструктуре крупной компании летом 2026 года. Расследование показало, что злоумышленники проникли в сеть еще весной 2024 года через уязвимость в веб-сервисе. В отличие от предыдущих атак, где вредонос оставался в системе незамеченным до 10 месяцев, теперь группа перешла к более агрессивному закреплению через инструмент IDFKA Dropper. Он подменяет легитимные процессы, скрытно запуская основной бэкдор.
По словам старшего инженера Solar 4RAYS Дениса Чернова, атакующие учли ошибки прошлых периодов и выстроили более устойчивую модель доступа. В коде программы хакеры даже исправили опечатку, приведя название бэкдора в соответствие с классическим чит-кодом IDKFA из игры Doom, дающим игроку полный арсенал оружия и ключи.
Атрибутировать группировку пока не удалось, однако лингвистический анализ логов дает зацепки. В сообщениях об ошибках, которые генерирует вредонос, обнаружены специфические опечатки. Они указывают на то, что как минимум один из разработчиков ПО является носителем испанского языка, а в коде также встречаются следы, характерные для португальского и французского. На данный момент эксперты Solar 4RAYS завершили зачистку инфраструктуры пострадавшей компании и обновили правила для обнаружения подобных атак в будущем.
Комментарии (0)
Пока нет комментариев. Будьте первым!