• CNews FORUM 12 ноября
• CNews AWARDS 12 ноября
• Школа Роста
• КИИ в облаке
• 10 лет российского бэкапа
• SDN: Сеть как дом
• История облаков
• 30 лет ERP России
• Цифровизация
• Импортозамещение
• Безопасность
• ИТ в госсекторе
• ИТ в банках
• ИТ в торговле
• Телеком
• ИТ-бизнес
• Рейтинги

22 Октября 2026 13:04 22 Окт 2026 13:04 |

Новая шпионская программа RFRx003 потенциально угрожает всем российским компаниям с серверной инфраструктурой на базе Linux. В России уже зафиксирована по меньшей мере одна кибератака с ее использованием: злоумышленники несколько месяцев незаметно находились в сети ИТ-компании и крали данные из почтовых ящиков сотрудников, говорится в расследовании Центра исследования киберугроз Solar 4RAYS ГК «Солар». Об этом CNews сообщили представители «Солар».

RFRx003 относится к классу бэкдоров (программ, которые дают злоумышленнику скрытый удаленный доступ к зараженному компьютеру). Он умеет выполнять команды на взломанном сервере, читать, скачивать и отправлять файлы, а также собирать сведения о системе. Кроме того, он создает туннели (скрытые каналы связи), по которым атакующие переходят с одного компьютера внутренней сети на другой.

Бэкдор тщательно маскируется, сказал эксперт группы расследования инцидентов Центра исследования киберугроз Solar 4RAYS ГК «Солар» Владимир Духанин. В расследованном инциденте один из экземпляров вредоноса запускался через сервис, имитирующий штатную службу синхронизации времени в Linux. Сетевые запросы RFRx003 выглядели как обращения обычной системной утилиты, при этом загрузка файлов тоже маскировалась под легитимный процесс – запрос аватара пользователя. Вместе с тем, бэкдор отключает запись истории введенных команд, что тоже усложняет его выявление.

«Инструменты расследованной нами атаки не совпадают ни с одним из ранее публично описанных наборов вредоносного ПО. Это говорит о том, что RFRx003 является уникальным бэкдором, написанным специально для долгого и скрытного присутствия в сетях жертв. Наш анализ вредоноса позволяет сделать вывод, что у злоумышленников есть большой опыт работы с Linux и хорошее понимание слабых мест корпоративных средств защиты. Судя по профессионализму действий атакующих, мы можем предположить, что за расследованным инцидентом может стоять хакерская APT-группа. С учетом подхода к созданию ВПО, тактикам, техникам и процедурам атакующих, выявленная нами кампания и вредонос представляют существенную угрозу для российских компаний», – сказал Владимир Духанин.

По его словам, потенциально RFRx003 угрожает компаниям в России, в серверной инфраструктуре которых используется Linux или ОС на базе ядра Linux, а таких большинство. Эксперты Solar 4RAYS обнаружили RFRx003 в 2026 году, расследуя инцидент в одной из российских ИТ-компаний. Анализ инфраструктуры предприятия и активности атакующих показал, что с помощью бэкдора злоумышленники несколько месяцев незаметно находились в сети компании и похищали данные из почтовых ящиков сотрудников.

«Чтобы защититься от RFRx003, компаниям стоит отслеживать в своей инфраструктуре индикаторы компрометации (признаки взлома), которые мы опубликовали в расследовании. Кроме того, мы рекомендуем использовать антивирусное ПО и решения класса EDR (системы, которые выявляют подозрительную активность на серверах и рабочих компьютерах и помогают на нее реагировать) вроде Solar EDR для Linux», – сказал Владимир Духанин.