NGC5081 использует бэкдор IDFKA для закрепления в Linux
Группировка NGC5081, специализирующаяся на скрытности и нацеленная на инфраструктуру Unix и Linux, первоначально получила доступ к организации в период с января по март 2024 года. Она эксплуатировала общедоступные веб-сервисы, устанавливала PHP-веб-шеллы и перемещалась по внутренним системам. Вероятной точкой входа стала небезопасная функция загрузки файлов в модуле soundlang для FreePBX, используемом с Asterisk. Она позволяла аутентифицированным пользователям загружать PHP-файлы и выполнять код удалённо. Позднее уязвимость зарегистрировали как CVE-2026-54675.
Перемещение по сети и закрепление
Для повышения привилегий злоумышленники также использовали CVE-2021-4034, замаскировав эксплойт под MP3-файл. Для перемещения внутри организации и закрепления группировка применяла скомпрометированные учётные записи, уязвимые внутренние сервисы, легитимные утилиты, ReverseShell, ReverseSSH и простые бэкдоры. Задача cron поддерживала соединение ReverseSSH с инфраструктурой злоумышленников.
Начиная с сентября 2025 года группировка заменяла легитимные утилиты автозагрузки модифицированными версиями со внедрённым кодом, который загружал и выполнял IDFKA. Эту технику называют IDFKA Dropper. Она обеспечивала закрепление, сохраняя видимость легитимных процессов. Злоумышленники также подбирали имена процессов и файлов под целевую систему, использовали доменные имена C2, имитирующие жертву, удаляли файлы ВПО после выполнения и пытались удалять индикаторы из журналов веб-сервера.
Возможности бэкдора IDFKA
IDFKA представляет собой модульный бэкдор для Linux, написанный на Rust. Как правило, он работает из оперативной памяти. В обновлённой версии набор команд расширили с 24 до 40 операций, а число сетевых режимов увеличили с 11 до 15. Среди новых возможностей:
- создание TCP-соединений в пользовательском режиме;
- формирование пользовательских пакетов Ethernet/IPv4/UDP;
- обмен данными через ICMP;
- разведка с фильтрацией исходящего трафика;
- односторонняя доставка команд через DNS;
- обновления на основе memfd;
- поддержка внедрения в процессы.
Резервный механизм через DNS кодирует команды в ответах IPv4 и может нацеливаться на отдельные хосты с помощью DNS-меток, образованных из имени хоста. Вредоносное ПО также поддерживает управление модулем ядра, аналогичным Diamorphine. Этот модуль поддерживает сокрытие процессов, закрепление, загрузку и выгрузку.
В IDFKA предусмотрены перехват ввода на основе ptrace и eBPF, плагины в виде разделяемых объектов, файлы аварийных команд и закрепление на основе cron. В последнем образце исправлена сигнатура конфигурации: idfka заменили на idkfa. Узнаваемые аргументы запуска заменили хэшированными значениями.
Подтверждённой атрибуции к известной группировке или региону нет. В диагностических строках обнаружены повторяющиеся ошибки на испанском или другом романском языке. По оценке исследователей, это указывает на то, что по крайней мере один разработчик может иметь соответствующий лингвистический бэкграунд.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
