Хакеры BO Team месяцами хозяйничали в сети российского разработчика ПО

Кибергруппировка BO Team несколько месяцев контролировала сеть разработчика ПО и получила доступ к репозиториям с исходным кодом и серверу цифровой подписи готовых сборок. Этот набор прав позволял внедрить вредоносный код в легитимные продукты и отправить его заказчикам. По оценке «Лаборатории Касперского», целью преступников могла стать атака на цепочку поставок, но операцию остановили до реализации плана.

Подробности расследования 5 ноября 2026 года опубликовал Kaspersky ICS CERT. Первые подозрительные события заметили в июне 2025 года, когда к компьютерам системных администраторов по SMB пытались подключиться учётные записи без нужных прав. Привлечённые специалисты уже в первый день нашли следы BO Team, известной под названием Black Owl, и масштаб проникновения превзошёл первоначальные подозрения.

Контроль над всей сетью

Преступники закрепились почти во всех основных сегментах и получили под контроль:

• почтовую инфраструктуру и доменные контроллеры;
• серверы и системы виртуализации;
• сетевое оборудование и корпоративный VPN;
• резервное копирование и сервер управления SIEM.

Хакеры добрались до виртуальной машины GitLab с репозиториями исходного кода и получили её закрытый ключ, а через Ansible, инструмент автоматизации управления серверами, расширили присутствие на другие Linux-серверы. Захват одних компонентов давал власть над остальными, поэтому новая уязвимость для каждого шага не требовалась.

Штатные инструменты вместо вирусов

BO Team почти не применяла специализированные вредоносные программы и опиралась на обычные средства Windows и Linux. Для удалённого управления использовались RDP, SSH и SCP, а сеть изучали Metasploit Framework, Burp Suite и Nmap. Тактика называется Living off the Land и затрудняет различить работу администратора и действия злоумышленника с настоящей учётной записью. Учётные данные из памяти процессов извлекали Nanodump, а в Linux подменили файл штатной утилиты NX, чтобы перехватывать пароли пользователей. Следы присутствия скрывали четырьмя приёмами:

• файлы вредоносных компонентов переименовывали под системные элементы;
• команды маскировали;
• временные метки изменяли;
• записи журналов событий удаляли.

Группа не спешила с вымогательством и месяцами наращивала доступ, а массового шифрования или уничтожения данных в расследованном инциденте не произошло.

Письмо с настоящей подписью

Когда компания обнаружила проникновение, её сеть изолировали от интернета, а затем доступ частично вернули. В этот период BO Team попыталась вернуться и разослала сотрудникам письма якобы от техподдержки с темой «Учётная запись отключена от почтового сервера» и ссылкой для смены пароля.

Сообщения подписали похищенным закрытым ключом DKIM атакованной организации. Этот механизм позволяет серверу убедиться, что письмо подписано ключом нужного домена и не менялось в пути. С украденным ключом подделка частично обходит почтовую защиту и вызывает куда меньше подозрений, чем письмо с чужого адреса. Попытка провалилась, потому что сотрудники вовремя заметили рассылку.

Для российских компаний этот приём опасен тем, что сотрудники привыкли доверять письмам с адресов собственного домена и редко перепроверяют отправителя.

Почему разработчик ПО стал мишенью

Банк или завод открывает преступникам доступ к одной организации, а разработчик ПО открывает дорогу ко всем клиентам. При атаке на цепочку поставок вредоносный компонент приходит к заказчикам вместе с легитимным обновлением, и защитные системы на этапе установки не видят ничего подозрительного. Взлом SolarWinds в 2020 году затронул около 18 тыс. организаций, получивших заражённые обновления платформы Orion. В расследованном случае преступников интересовали:

• репозитории исходного кода;
• сервер цифровой подписи;
• инструменты анализа программных зависимостей;
• сервер электронной документации.

Доказательств внедрения вредоносного компонента в продукт исследователи не представили, поэтому о заражении заказчиков говорить нельзя.

В первом квартале 2026 года BO Team атаковала 20 организаций нефтегазового комплекса, промышленности и телекоммуникаций адресным фишингом и бэкдором BrockenDoor. Для российского бизнеса статистика продолжает ухудшаться. По данным «Лаборатории Касперского», число предотвращённых инцидентов в российских организациях в первом квартале 2026 года выросло на 68%. Positive Technologies оценила долю успешных атак в 2025 году в 47% против 31% годом ранее.

Что помогло бы заметить хакеров раньше

Среди причин долгого присутствия преступников в сети Kaspersky ICS CERT назвала устаревшую систему защиты, SIEM без полноценной работы, поздние обновления ОС и ПО, слабую сегментацию, хранение учётных данных в открытом виде и отсутствие выделенных специалистов по защите информации. По рекомендациям исследователей, после обнаружения взлома компании нужно:

• отозвать и перевыпустить скомпрометированные сертификаты и ключи;
• проверить учётные записи и резервные копии;
• искать подозрительные задачи планировщика;
• сменить пароли всех пользовательских и компьютерных учётных записей в домене.

Эксперты CISOCLUB отметили, что инцидент показывает уязвимость самого доверия между поставщиком и заказчиком, ведь подписанное обновление принято устанавливать без проверки. Долгое скрытое присутствие в сети опаснее громкого шифрования, потому что у преступников остаётся время изучить среду разработки и выбрать момент для удара. Ключи подписи стоит хранить в аппаратных модулях, а сборочную среду отделять от остальной сети и защищать независимым контролем операций.

Заказчикам полезно проверять поведение обновлений после установки и требовать от поставщиков прозрачности. Пока один поставщик обслуживает десятки организаций, его уровень защиты определяет риски всех клиентов.

Ранее сообщалось, что группировка NoName057(16) опубликовала в даркнете досье на 18 европейских политиков, представителей силовых структур и журналистов, предложив денежное вознаграждение за сбор дополнительных сведений о них. Среди упомянутых лиц — министр иностранных дел Италии Антонио Таяни, прокуроры, руководители полиции и репортёры, занимавшиеся расследованием деятельности хакерских сетей. Прокуратура Рима начала проверку на основании материалов полиции, а сайт с опубликованными досье оставался доступен через сеть Tor 7 и 8 ноября.