«Лаборатория Касперского» раскрыла многомесячную кибератаку на российского разработчика программного обеспечения: злоумышленники несколько месяцев контролировали инфраструктуру компании, а их конечной целью могла быть атака на цепочку поставок. Как рассказали «Газете.Ru» в компании, речь шла о хакерской многоходовке, которую удалось остановить до достижения цели.
Анализ показал, что атакующие захватили практически все ключевые элементы цифровой инфраструктуры, включая почтовые серверы, системы резервного копирования, сетевое оборудование, гипервизоры, доменные контроллеры и системы управления средствами информационной безопасности.
Злоумышленники также добрались до репозитория с исходным кодом и до сервера подписания сборок — это позволяло незаметно встроить вредоносный код в дистрибутив (установочный пакет программы). Под угрозой оказались организации в разных странах, использующие ПО атакованного разработчика.
В компанию обратились представители самого разработчика, заметившие подозрительную активность. Уже в первый день анализа эксперты обнаружили признаки активности хакерской группы BO Team. В мае 2025 года «Лаборатория Касперского» отнесла эту группировку к проукраинским хактивистам (хакерам, действующим по политическим и идеологическим мотивам).
Чтобы избежать обнаружения, злоумышленники старались минимизировать использование вредоносного ПО: применяли системные утилиты для кражи учетных данных и развития атаки, маскировали вредоносные файлы под компоненты операционной системы, удаляли журналы событий и изменяли временные метки.
Компания приняла меры, лишившие атакующих доступа к инфраструктуре. Однако злоумышленники попытались восстановить доступ: сотрудникам организации отправили фишинговые письма с использованием ранее украденного закрытого ключа DKIM (технология аутентификации электронной почты) от почтового сервера компании. Так атакующим удалось частично обойти средства защиты, но рассылку обнаружили вовремя — утечки учетных данных не произошло. Кроме того, специалисты подготовили тестовые стенды, имитирующие инфраструктуру компании, что позволило отследить дальнейшие действия злоумышленников.
«По нашей оценке, конечной целью группы могла быть атака на клиентов и контрагентов организации — в том числе через внедрение вредоносного кода в разрабатываемые продукты. По всей видимости, угрозу удалось нейтрализовать. Этот случай наглядно показывает, как важно сосредоточить усилия на защите разработчиков программных продуктов и производителей ПО», — отметил руководитель центра реагирования на компьютерные инциденты Kaspersky ICS CERT Евгений Гончаров.
Ранее в Kaspersky рассказали, что хакеров для прогосударственных APT-группировок нанимают на закрытых форумах.