Специалисты «Солара» обнаружили новый шпионский бэкдор RFRx003 для Linux, который уже применяли против российской организации. Злоумышленники несколько месяцев скрывались в корпоративной инфраструктуре и похищали данные из электронной почты сотрудников, маскируя вредоносную активность под обычную работу системы.
Вредоносную программу выявили специалисты центра исследования киберугроз Solar 4RAYS при расследовании целевой атаки. Название пострадавшей организации не раскрывается. По данным исследователей, хакеры сумели закрепиться во внутренней сети и длительное время сохраняли доступ к корпоративным ресурсам. Основной подтверждённой целью злоумышленников стала электронная переписка сотрудников. Сколько писем удалось похитить и какие сведения оказались скомпрометированы, неизвестно.
Для скрытого присутствия RFRx003 использует несколько способов маскировки. В одном из обнаруженных сценариев вредоносный компонент выдавал себя за штатную службу синхронизации времени Linux. Подобные службы работают в фоновом режиме и обычно не вызывают подозрений у администраторов. В результате посторонний процесс мог выглядеть как обычная часть операционной системы, хотя фактически обеспечивал злоумышленникам скрытый доступ к заражённому серверу.
Дополнительную маскировку хакеры применяли при сетевых обращениях. Когда вредоносной программе требовалось загрузить данные, RFRx003 имитировал запросы на получение пользовательского аватара. Такая активность внешне напоминала обычное обращение приложения к изображению профиля. Подобный приём затрудняет выявление подозрительного трафика, особенно если средства защиты ориентируются преимущественно на адреса подключений и отдельные признаки сетевых запросов.
Ещё один механизм направлен против расследования атаки. RFRx003 отключает сохранение истории команд, введённых в командной оболочке Linux. Обычно история помогает администраторам и специалистам по информационной безопасности восстановить действия пользователя, включая запуск программ, изменение настроек и работу с файлами. Отключая запись команд, злоумышленники сокращают количество следов, по которым можно установить последовательность действий после проникновения.
Аналитики Solar 4RAYS не обнаружили совпадений между инструментами исследованной атаки и ранее публично описанными наборами вредоносного ПО. Эксперт группы расследования инцидентов Владимир Духанин считает RFRx003 уникальным бэкдором, разработанным специально для длительного и незаметного присутствия в чужих сетях. По оценке специалиста, сочетание собственного инструментария и применённых методов представляет существенную угрозу для российских организаций.
Потенциальная область применения RFRx003 не ограничивается конкретной компанией или отраслью. Под угрозой могут оказаться организации, использующие серверы с Linux и дистрибутивами на его базе, если злоумышленникам удастся проникнуть в инфраструктуру и запустить вредоносный код. Вместе с тем обнаружение RFRx003 не означает наличия уязвимости во всех Linux-системах. Исследователи пока не раскрыли первоначальный способ проникновения, не назвали затронутые версии ОС и не сообщили о массовом распространении вредоноса.
Использование специализированных бэкдоров против Linux-серверов уже встречалось в других кибершпионских кампаниях. Например, ранее исследователи обнаружили ClingSTUN, который скрывал обмен командами среди обычного сетевого трафика и закреплялся в системе для последующего удалённого доступа. Сходство отдельных приёмов маскировки не доказывает связи между разработчиками двух программ. В случае RFRx003 исследователи пока не установили публично, какая группировка стоит за атакой и проводились ли аналогичные операции против других организаций.