Эксперты центра исследования киберугроз Solar 4RAYS ГК «Солар» снова обнаружили шпионскую атаку APT-группы NGC5081 — на этот раз в сети одной из крупных российских компаний. Хакеры вернулись с обновлённым бэкдором IDFKA, который отсылает к культовой игре Doom. Об этом сообщила пресс-служба «Солар».
Ошибки в коде указывают на наличие как минимум одного испаноязычного хакера в группировке. Злоумышленники доработали тактики и сам вредонос, из-за чего их стало сложнее выявлять. Расследования подготовили к форуму по кибербезопасности SOC Forum 2026.
IDFKA — бэкдор для скрытого удалённого доступа: он позволяет управлять заражённой системой, изучать содержимое серверов, перемещаться между ними и красть данные. Впервые Solar 4RAYS описали его в расследовании атаки через подрядчика на несколько компаний РФ в 2025 году — тогда вредонос незаметно оставался в инфраструктуре не менее 10 месяцев.
С новым образцом эксперты столкнулись в июне 2026 года: служба ИБ крупной российской компании нашла подозрительный файл на одном из серверов. Расследование показало, что проникновение случилось ещё весной 2024 года — через уязвимый веб-сервис, доступный из интернета. С тех пор злоумышленники закреплялись в сети для шпионажа.
Главное изменение в тактике — закрепление. После проникновения хакеры загрузили изменённые штатные утилиты со скрытой функцией запуска IDFKA с их сервера под видом легитимных процессов. Эти утилиты получили название IDFKA Dropper.
«В прошлых инцидентах мы видели минимум закрепления от данной группировки, однако в текущем кейсе атакующие стали использовать IDFKA Dropper. Похоже, они пересмотрели подход после потери доступа к нескольким жертвам и изучения ошибок, на которые мы указали в расследовании», — отметил старший инженер Solar 4RAYS Денис Чернов.
Кроме того, хакеры исправили «опечатку» в названии: если в 2025 году в коде встречалось IDFKA, то теперь используется «правильный» идентификатор IDKFA — отсылка к чит-коду из Doom, дававшему все оружие и ключи.
NGC5081 по-прежнему не атрибутирована к региону или известной группировке. Однако в сообщениях об ошибках, которые IDFKA отправляло злоумышленникам, специалисты нашли много необычных опечаток в английских словах. Они могут указывать на испанский как родной язык как минимум одного разработчика. В меньшем количестве замечены ошибки, специфика которых указывает на португальский и французский.
Специалисты Solar 4RAYS помогли удалить вредоносное ПО и зачистить инфраструктуру от следов NGC5081. Эксперты также обновили индикаторы компрометации и Yara-правила для выявления бэкдора.
Ранее сообщалось, что новое шпионское ПО поставило под угрозу большинство российских компаний.