Специалисты ГК «Солар» обнаружили новое ВПО для атак на серверы под Linux

ГК «Солар» обнаружила ранее неизвестный бэкдор RFRx003, который использовали для атак на Ит-инфраструктуру на базе Linux. Как рассказали изданию «Киберболоид» в группе компаний, летом 2026 года специалисты расследовали инцидент в неназванной российской организации из IT-сферы. Атакующие несколько месяцев оставались незамеченными в сети и похитили данные из почтовых ящиков сотрудников.

Поводом для расследования стали успешные входы во внешние веб-сервисы с нетипичных IP-адресов и подозрительных User Agent. У злоумышленников уже были действующие учётные данные. Следов подбора паролей в журналах не нашли. Внутреннее расследование показало, что незадолго до этого была скомпрометирована учётная запись сотрудника. Также в одной из информационных систем обнаружили нелегитимный SSH-ключ и подозрительный процесс.

Атакующие проникли в сеть за несколько месяцев до обнаружения инцидента. Они использовали свежую на тот момент RCE-уязвимость в сервисе на периметре. Она позволила удалённо запускать код от имени системы, а затем повысить привилегии.

Для закрепления злоумышленники разместили бэкдор RFRx003 по пути /etc/time и запустили его через сервис timesync.service. Его описание имитировало штатную службу синхронизации времени systemd-timesyncd. Позже в системе появился исполняемый файл /usr/bin/zdumd с установленным SUID-битом. Он представлял собой копию Bash и позволял любому пользователю системы получить привилегии root.

Атакующие также добавили скрипт, скачивающий второй экземпляр бэкдора с сервера злоумышленников под именем package.json. Его маскировали под файл пакета npm. Скрипт запускал файл из /dev/shm — временной файловой системы в оперативной памяти. После перезагрузки её содержимое стирается, а хранение файлов только в памяти затрудняет обнаружение и расследование. Скрипт закрепили с помощью задания cron от имени root.

Незадолго до обнаружения инцидента специалисты нашли несколько экземпляров RFRx003 в каталогах /tmp/.X11-unix/confs, /etc/vtrgbs и /etc/time. Их использовали для создания туннелей и бокового перемещения по внутренней сети.

RFRx003 поддерживает два канала связи с управляющим сервером: HTTPS и WSS. Бэкдор может собирать сведения о системе, читать и передавать файлы, выполнять команды и запускать интерактивную оболочку Bash через псевдотерминал. Для неё он отключает запись истории команд. Вредонос также создаёт SOCKS5-туннели, через которые атакующие могут подключаться к другим системам внутренней сети.

По оценке экспертов, ранее инструменты этой атаки не встречались в публично описанных наборах вредоносных программ. Анализ RFRx003 показал, что его разработали для длительной и скрытной работы в сетях на базе Linux. При этом вывод о возможной причастности хакерской APT-группы остаётся предположением специалистов.