Хакеры из группировки BO Team несколько месяцев скрытно находились в сети российского разработчика программного обеспечения для промышленных предприятий. Злоумышленники захватили практически всю ИТ-инфраструктуру компании, включая серверы, системы резервного копирования и средства защиты, но не стали уничтожать или шифровать данные. Специалисты предполагают, что преступники готовились внедрить вредоносный код в выпускаемые программы, чтобы впоследствии заразить компьютеры клиентов.
Масштабную атаку расследовали специалисты Kaspersky ICS CERT. В июне 2025 года сотрудники пострадавшей компании заметили подозрительные подключения к компьютерам системных администраторов. Проверка показала, что BO Team уже проникла в корпоративную сеть и получила контроль над ключевыми системами. Название разработчика не раскрывается, однако известно, что его программное обеспечение используют промышленные предприятия различных отраслей преимущественно в странах Восточной Европы.
Первой подтверждённой точкой проникновения стал сервер Linux, доступный из интернета через SSH. Хакеры подключились с помощью служебной учётной записи, изучили внутреннюю сеть и добрались до системы виртуализации VMware vCenter. Для захвата сервера, предположительно, использовалась известная уязвимость Log4Shell (CVE-2021-44228), позволяющая удалённо выполнять вредоносный код. Исследователи воспроизвели эксплуатацию на тестовом стенде с аналогичной версией программного обеспечения.
Получив административные привилегии, преступники установили скрытые программы удалённого управления и начали захватывать другие системы. Через GitLab злоумышленники добрались до репозиториев с исходным кодом, а затем проникли на сервер Ansible, который использовался для управления инфраструктурой. BO Team также получила доступ к корпоративному VPN, почтовым серверам, резервным копиям и контроллерам домена Windows. Развитию атаки помогали устаревшее программное обеспечение, открытое хранение паролей и избыточные права служебных учётных записей.
Особый интерес хакеров вызвал сервер цифровой подписи готовых программ. Исследователи обнаружили несколько заблокированных попыток запуска вредоносного кода на сервере. Компрометация системы подписи вместе с доступом к исходному коду указывает на возможную подготовку атаки на цепочку поставок. При подобном сценарии преступники внедряют вредоносные компоненты в официальные программы или обновления разработчика, а затем используют доверие клиентов к поставщику. Однако подтверждений успешного изменения программных продуктов или похищения ключей цифровой подписи специалисты не обнаружили.
Поведение BO Team отличалось от предыдущих нападений группировки. Обычно преступники похищали конфиденциальную информацию, уничтожали данные или применяли шифровальщики, а затем публично рассказывали об атаках. В случае с разработчиком хакеры сосредоточились на сохранении доступа и скрытом управлении корпоративными системами. После обнаружения взлома сотрудники компании отключили сеть от интернета, но злоумышленники попытались вернуться через фишинговую рассылку. Для придания письмам достоверности использовалась действительная DKIM-подпись, ключ которой, предположительно, похитили с корпоративного почтового сервера.
Попытку повторного проникновения удалось остановить. По оценке Kaspersky ICS CERT, длительное присутствие в сети привело к потере осторожности со стороны хакеров, а своевременное реагирование помешало завершить предполагаемую атаку на клиентов разработчика. Исследователи отложили публикацию подробностей, чтобы пострадавшая компания успела устранить недостатки защиты и проверить, удалось ли окончательно закрыть злоумышленникам доступ к инфраструктуре.
