Обнаружена новая шпионская программа RFRx003, которая потенциально угрожает всем российским компаниям с серверной инфраструктурой на базе Linux. Об этом «Газете.Ru» сообщили пресс-служба ГК «Солар».
Специалисты центра исследования киберугроз Solar 4RAYS зафиксировали как минимум одну кибератаку с ее использованием: злоумышленники несколько месяцев незаметно находились в сети ИТ-компании и крали данные из почтовых ящиков сотрудников.
RFRx003 относится к классу бэкдоров — программ, дающих скрытый удаленный доступ к зараженному компьютеру. Он умеет выполнять команды на взломанном сервере, читать, скачивать и отправлять файлы, а также собирать сведения о системе. Кроме того, он создает туннели — скрытые каналы связи, по которым атакующие переходят с одного компьютера внутренней сети на другой.
По словам эксперта группы расследования инцидентов Solar 4RAYS Владимира Духанина, бэкдор тщательно скрывается. В расследованном инциденте один из экземпляров вредоноса запускался через сервис, имитирующий штатную службу синхронизации времени в Linux.
Сетевые запросы RFRx003 выглядели как обращения обычной системной утилиты, а загрузка файлов маскировалась под легитимный процесс — запрос аватара пользователя. Помимо этого, бэкдор отключает запись истории введенных команд, что тоже усложняет его выявление.
«Инструменты расследованной нами атаки не совпадают ни с одним из ранее публично описанных наборов вредоносного ПО. Это говорит о том, что RFRx003 — уникальный бэкдор, написанный специально для долгого и скрытного присутствия в сетях жертв. Наш анализ позволяет сделать вывод, что у злоумышленников есть большой опыт работы с Linux и хорошее понимание слабых мест корпоративных средств защиты. Судя по профессионализму действий, за инцидентом может стоять хакерская APT-группа. С учетом подхода к созданию ВПО, тактикам и процедурам атакующих, выявленная кампания представляет существенную угрозу для российских компаний», — пояснил Духанин.
По его словам, потенциально RFRx003 угрожает компаниям, в серверной инфраструктуре которых используется Linux или ОС на базе ядра Linux, — а таких большинство.
Для защиты специалисты рекомендуют отслеживать индикаторы компрометации, опубликованные в расследовании, использовать антивирусное ПО и решения класса EDR (системы, выявляющие подозрительную активность на серверах и рабочих компьютерах и помогающие на нее реагировать).
Ранее сообщалось, что вирус для кражи аккаунтов стал неуязвимым с помощью Telegram.