Хакеры вернулись в Россию с обновлённым бэкдором IDFKA
Эксперты центра исследования киберугроз Solar 4RAYS ГК «Солар» обнаружили шпионскую атаку APT-группы NGC5081 в сети одной из крупных российских компаний. Злоумышленники использовали обновлённый бэкдор IDFKA, позволяющий удалённо управлять заражённой системой и красть данные.
Новый образец IDFKA эксперты обнаружили в июне 2026 года: служба информационной безопасности компании нашла на сервере подозрительный файл. Проверка всей инфраструктуры показала, что с мая по июль 2026 года похожие процессы работали в нескольких десятках систем.
Проникновение произошло ещё весной 2024 года через уязвимый веб-сервис, доступный из интернета. С тех пор злоумышленники перемещались по сети и закреплялись в ней для шпионажа.
Главное изменение в тактике группы — механизм закрепления IDFKA Dropper: в сеть загружаются изменённые штатные утилиты со скрытой функцией скачивания и запуска бэкдора под видом легитимных процессов. В инциденте 2025 года IDKFA работал в оперативной памяти, и его можно было удалить обычной перезагрузкой сервера.
Новая версия бэкдора получила больше команд управления — 40 вместо 24, и сетевых режимов — 15 вместо 11. Сокрытие процессов дошло до маскировки на уровне ядра операционной системы, что затрудняет поиск вредоноса. В текстовых сообщениях об ошибках исследователи нашли опечатки, указывающие на испанский как родной язык как минимум одного разработчика; реже встречаются следы португальского и французского.
Специалисты помогли удалить вредоносное ПО и зачистить инфраструктуру компании, обновили индикаторы компрометации и Yara-правила для поиска бэкдора. Для защиты рекомендовано следить за обращениями к известным управляющим серверам NGC5081, использовать комплексные средства защиты и регулярно оценивать компрометацию инфраструктуры.