В Solar 4RAYS выявили опасное для большинства компаний в России шпионское ПО

Новая шпионская программа RFRx003 потенциально угрожает всем российским компаниям с серверной инфраструктурой на базе Linux. В России уже зафиксирована по меньшей мере одна кибератака с ее использованием: злоумышленники несколько месяцев незаметно находились в сети ИТ-компании и крали данные из почтовых ящиков сотрудников. Об этом говорится в расследовании Центра исследования киберугроз Solar 4RAYS ГК «Солар», ведущего провайдера комплексной кибербезопасности в России.

RFRx003 относится к классу бэкдоров (программ, которые дают злоумышленнику скрытый удаленный доступ к зараженному компьютеру). Он умеет выполнять команды на взломанном сервере, читать, скачивать и отправлять файлы, а также собирать сведения о системе. Кроме того, он создает туннели (скрытые каналы связи), по которым атакующие переходят с одного компьютера внутренней сети на другой.

Бэкдор тщательно маскируется, отмечает эксперт группы расследования инцидентов Центра исследования киберугроз Solar 4RAYS ГК «Солар» Владимир Духанин. В расследованном инциденте один из экземпляров вредоноса запускался через сервис, имитирующий штатную службу синхронизации времени в Linux. Сетевые запросы RFRx003 выглядели как обращения обычной системной утилиты, при этом загрузка файлов тоже маскировалась под легитимный процесс – запрос аватара пользователя. Вместе с тем, бэкдор отключает запись истории введенных команд, что тоже усложняет его выявление.

«Инструменты расследованной нами атаки не совпадают ни с одним из ранее публично описанных наборов вредоносного ПО. Это говорит о том, что RFRx003 является уникальным бэкдором, написанным специально для долгого и скрытного присутствия в сетях жертв. Наш анализ вредоноса позволяет сделать вывод, что у злоумышленников есть большой опыт работы с Linux и хорошее понимание слабых мест корпоративных средств защиты. Судя по профессионализму действий атакующих, мы можем предположить, что за расследованным инцидентом может стоять хакерская APT-группа. С учетом подхода к созданию ВПО, тактикам, техникам и процедурам атакующих, выявленная нами кампания и вредонос представляют существенную угрозу для российских компаний», – сказал Владимир Духанин.

По его словам, потенциально RFRx003 угрожает компаниям в России, в серверной инфраструктуре которых используется Linux или ОС на базе ядра Linux, а таких большинство. Эксперты Solar 4RAYS обнаружили RFRx003 в 2026 году, расследуя инцидент в одной из российских ИТ-компаний. Анализ инфраструктуры предприятия и активности атакующих показал, что с помощью бэкдора злоумышленники несколько месяцев незаметно находились в сети компании и похищали данные из почтовых ящиков сотрудников.

«Чтобы защититься от RFRx003, компаниям стоит отслеживать в своей инфраструктуре индикаторы компрометации (признаки взлома), которые мы опубликовали в расследовании. Кроме того, мы рекомендуем использовать антивирусное ПО и решения класса EDR (системы, которые выявляют подозрительную активность на серверах и рабочих компьютерах и помогают на нее реагировать) вроде Solar EDR для Linux», – отметил Владимир Духанин.

О компании

Группа компаний «Солар» — ведущий провайдер комплексной кибербезопасности. Ключевые направления деятельности — предоставление услуг и сервисов в области информационной безопасности, разработка собственных ИБ-продуктов, обучение ИБ-специалистов, аналитика и исследование киберинцидентов.

С 2015 года предоставляет ИБ-решения организациям от малого бизнеса до крупнейших предприятий ключевых отраслей. Под защитой «Солара» — более 1 500 крупнейших компаний России. Компания работает в направлениях безопасной разработки программного обеспечения, управления доступом, защиты корпоративных данных, детектирования хакерских атак и угроз, что позволяет закрывать максимум потребностей заказчиков.

Группа компаний предлагает сервисы первого и крупнейшего в России коммерческого SOC — Solar JSOC, экосистему управляемых сервисов ИБ — Solar MSS. По данным независимых аналитиков, «Солар» входит в топ-5 европейских и топ-15 мировых сервис-провайдеров по объему бизнеса.

Работа Центра исследования киберугроз Solar 4RAYS нацелена на изучение тактик киберпреступников. Полученные аналитические данные обогащают разработки Центра технологий кибербезопасности.

Линейка собственных продуктов включает DLP-решение Solar Dozor, шлюз веб-безопасности Solar webProxy, IdM-систему Solar inRights, PAM-систему Solar SafeInspect, анализатор кода Solar appScreener, решение для автоматизации мониторинга и реагирования Solar SIEM и другие.

Группа компаний «Солар» инвестирует в развитие отрасли кибербезопасности и помогает решать проблему кадрового дефицита. Для поддержки молодых технологичных проектов и насыщения рынка технологиями созданы венчурный фонд Solar Ventures и программа CyberStage. «Солар» реализует образовательные и просветительские проекты, направленные на повышение цифровой грамотности населения.

Под защитой «Солара» находятся крупнейшие государственные информационные системы, а также экономические и общественно-политические события в России, в том числе международного уровня.

Штат компании — около 2 500 специалистов. Подразделения «Солара» расположены в Москве, Санкт-Петербурге, Нижнем Новгороде, Самаре, Ростове-на-Дону, Томске, Хабаровске и Ижевске. Технологии компании и наличие распределенных по всей стране центров компетенций позволяют ей работать в режиме 24/7.