В Solar 4RAYS выявили опасное для большинства компаний в России шпионское ПО

Новая шпионская программа RFRx003 потенциально угрожает всем российским компаниям с серверной инфраструктурой на базе Linux. В России уже зафиксирована по меньшей мере одна кибератака с ее использованием: злоумышленники несколько месяцев незаметно находились в сети ИТ-компании и крали данные из почтовых ящиков сотрудников. Об этом говорится в расследовании Центра исследования киберугроз Solar 4RAYS ГК «Солар», ведущего провайдера комплексной кибербезопасности в России.

RFRx003 относится к классу бэкдоров (программ, которые дают злоумышленнику скрытый удаленный доступ к зараженному компьютеру). Он умеет выполнять команды на взломанном сервере, читать, скачивать и отправлять файлы, а также собирать сведения о системе. Кроме того, он создает туннели (скрытые каналы связи), по которым атакующие переходят с одного компьютера внутренней сети на другой.

Бэкдор тщательно маскируется, отмечает эксперт группы расследования инцидентов Центра исследования киберугроз Solar 4RAYS ГК «Солар» Владимир Духанин. В расследованном инциденте один из экземпляров вредоноса запускался через сервис, имитирующий штатную службу синхронизации времени в Linux. Сетевые запросы RFRx003 выглядели как обращения обычной системной утилиты, при этом загрузка файлов тоже маскировалась под легитимный процесс – запрос аватара пользователя. Вместе с тем, бэкдор отключает запись истории введенных команд, что тоже усложняет его выявление.

Владимир Духанин

эксперт группы расследования инцидентов Центра исследования киберугроз Solar 4RAYS ГК «Солар»

«Инструменты расследованной нами атаки не совпадают ни с одним из ранее публично описанных наборов вредоносного ПО. Это говорит о том, что RFRx003 является уникальным бэкдором, написанным специально для долгого и скрытного присутствия в сетях жертв. Наш анализ вредоноса позволяет сделать вывод, что у злоумышленников есть большой опыт работы с Linux и хорошее понимание слабых мест корпоративных средств защиты. Судя по профессионализму действий атакующих, мы можем предположить, что за расследованным инцидентом может стоять хакерская APT-группа. С учетом подхода к созданию ВПО, тактикам, техникам и процедурам атакующих, выявленная нами кампания и вредонос представляют существенную угрозу для российских компаний».

По его словам, потенциально RFRx003 угрожает компаниям в России, в серверной инфраструктуре которых используется Linux или ОС на базе ядра Linux, а таких большинство. Эксперты Solar 4RAYS обнаружили RFRx003 в 2026 году, расследуя инцидент в одной из российских ИТ-компаний. Анализ инфраструктуры предприятия и активности атакующих показал, что с помощью бэкдора злоумышленники несколько месяцев незаметно находились в сети компании и похищали данные из почтовых ящиков сотрудников.

Владимир Духанин

эксперт группы расследования инцидентов Центра исследования киберугроз Solar 4RAYS ГК «Солар»

«Чтобы защититься от RFRx003, компаниям стоит отслеживать в своей инфраструктуре индикаторы компрометации (признаки взлома), которые мы опубликовали в расследовании. Кроме того, мы рекомендуем использовать антивирусное ПО и решения класса EDR (системы, которые выявляют подозрительную активность на серверах и рабочих компьютерах и помогают на нее реагировать) вроде Solar EDR для Linux».