Безопасность 26 октября 2026, 13:14 МСК

«Солар»: группировка NGC5081 вернулась с обновлённым бэкдором IDFKA в крупной российской компании

Исследователи Solar 4RAYS обнаружили новую версию бэкдора IDFKA группы NGC5081 в сети крупной российской компании, куда злоумышленники проникли ещё весной 2024 года.

Службa ИБ компании нашла на сервере подозрительный файл в июне 2026 года. Эксперты определили в нём новую версию IDFKA, которым, кроме NGC5081, никто не пользуется. С мая по июль 2026 года похожие процессы нашлись в нескольких десятках систем. Проникновение произошло через уязвимый веб-сервис, доступный из интернета.

Главное изменение — закрепление в сети: хакеры загрузили изменённые штатные утилиты (IDFKA Dropper), которые скрытно скачивают и запускают бэкдор. Раньше он работал в памяти и исчезал после перезагрузки. Число команд выросло с 24 до 40, сетевых режимов — с 11 до 15, появилась маскировка на уровне ядра ОС.

Группа по-прежнему не атрибутирована ни к региону, ни к известной группировке. По опечаткам в английских сообщениях об ошибках в коде «Солар» предполагает, что как минимум один разработчик — носитель испанского языка; есть и следы португальского и французского. Название отсылает к чит-коду IDKFA из игры Doom. Об этом CNews сообщили представители «Солара».

• Проникновение — весна 2024 года, обнаружение — июнь 2026
• Команд управления стало 40 вместо 24
• Группа не атрибутирована к региону