Специалисты «Солара» снова нашли следы группировки NGC5081: обновленный бэкдор IDFKA работал в сети крупной российской компании, а ошибки в коде выдают испаноязычного разработчика.
Центр исследования киберугроз Solar 4RAYS группы компаний «Солар» снова обнаружил шпионскую атаку группировки NGC5081. На этот раз хакеры действовали в сети одной из крупных российских компаний. Они вернулись с обновленным бэкдором IDFKA, название которого отсылает к игре Doom, и стали прятаться заметно лучше. Результаты расследования специалисты представили на SOC Forum 2026.
IDFKA — собственная разработка NGC5081 для Linux. Это бэкдор, то есть программа для скрытого удаленного доступа. С ее помощью атакующие управляют зараженной системой, изучают содержимое компьютеров и серверов, переходят между ними и крадут данные. Впервые Solar 4RAYS описал IDFKA в 2025 году, когда расследовал атаку через подрядчика на несколько российских компаний. Тогда бэкдор помог злоумышленникам оставаться незамеченными в инфраструктуре подрядчика не менее 10 месяцев.
Как нашли новую атаку
В июне 2026 года служба информационной безопасности крупной российской компании заметила на одном из серверов подозрительный файл. Эксперты Solar 4RAYS опознали в нем новую версию IDFKA. Этим бэкдором, кроме NGC5081, никто не пользуется. После этого специалисты проверили всю инфраструктуру компании и с мая по июль 2026 года нашли похожие процессы IDFKA в нескольких десятках систем.
Хакеры проникли в сеть гораздо раньше — еще весной 2024 года. Они воспользовались уязвимым веб-сервисом, доступным из интернета. С тех пор и до самого обнаружения злоумышленники перемещались по сети организации и закреплялись в ней ради шпионажа.
Источник: hi-tech.mail.ru