Злоумышленники использовали бэкдор RFRx003 для перемещения по Linux-инфраструктуре

Летом 2026 года ранее неизвестные злоумышленники скомпрометировали ИТ-организацию, воспользовавшись недавно раскрытой уязвимостью удалённого выполнения кода в сервисе периметра. Эксплойт обеспечил выполнение кода от имени системного пользователя. Злоумышленники повысили привилегии и сохраняли доступ несколько месяцев. Кампания была направлена на инфраструктуру Linux и использовала кастомное вредоносное ПО для скрытого перемещения внутри компании и кражи данных из почтовых ящиков сотрудников.

Основной инструмент кампании, RFRx003, представляет собой компактный бэкдор для перемещения через системы Linux. Он использует HTTPS как основной транспорт, а WebSocket Secure (WSS) как вспомогательный канал. Встроенная конфигурация закодирована в Base64 и занимает 72 байта. HTTP-коммуникации используют бинарный протокол с фиксированной восьмибайтовой заголовочной частью. Бэкдор поддерживает 16 команд для разведки системы, передачи файлов, доступа к интерактивной оболочке и туннелирования трафика SOCKS5.

RFRx003 может устанавливать соединение WebSocket с тем же узлом управления для интерактивных операций. Он создаёт оболочку Bash через псевдотерминал и подавляет историю команд, присваивая параметру HISTFILE пустое значение. Функция SOCKS5 поддерживает IPv4-адреса и доменные имена. Для разрешения доменов бэкдор использует жёстко заданный резолвер Google Public DNS по адресу 8.8.8.8. Для загрузки файлов предусмотрен путь /api/v1/upload, а параметр HTTP Range позволяет возобновлять прерванные передачи. При загрузке файлов с удалённого узла бэкдор использует путь /users/avatars?id= и маскирует получаемые файлы под запросы аватаров. Инициализация WebSocket в режиме HTTPS включает искусственную задержку в 10 секунд.

Сначала злоумышленники разместили RFRx003 в /etc/time и закрепились в системе с помощью службы /etc/systemd/system/timesync.service, имитировавшей легитимную службу systemd-timesyncd. Позднее они создали /usr/bin/zdumd, исполняемый файл Bash с установленным битом SUID, который позволял пользователям получать права root. Ещё одним средством закрепления стал шелл-скрипт-дроппер /usr/bin/pkgmgr, закреплённый через /var/spool/cron/crontabs/root. Дроппер загружал package.json с v32738123193.upd.baselinux.net:8443 в /dev/shm, делал файл исполняемым и запускал его как второй экземпляр бэкдора. Впоследствии несколько копий RFRx003 разместили по разным путям и использовали для создания SOCKS5-туннелей с целью перемещения внутри компании.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.