SecAtor

Исследователи Solar сообщают об обнаружении ранее неизвестного бэкдора RFRx003, замеченного в атаках на IT-компании. Летом 2026 года неизвестные атакующие смогли получить доступ к инфраструктуре компании и закрепиться внутри нее с использованием ранее неизвестного кастомного вредоносного ПО класса backdoor, позволявшего строить туннели скрытого бокового перемещения. В результате расследования инцидента стало понятно, что атакующие оставались незамеченными в инфраструктуре организации несколько месяцев, а точкой входа стал сервис на периметре. Эксплуатация свежей на тот момент RCE-уязвимости предоставила им выполнение кода от имени системы с последующим повышением привилегий. Для закрепления использовался сервис timesync.service, маскирующийся под штатный демон синхронизации времени, а впоследствии - задание cron от имени root. Однако ключевым инструментом бокового перемещения стал неизвестный ранее бэкдор RFRx003, который представляет собой компактный, профессионально написанный бэкдор для пивотинга в linux-инфраструктуре. Его архитектурные решения свидетельствуют о целенаправленной разработке инструмента, рассчитанного на длительное и скрытное присутствие в сети жертвы. При запуске бэкдор считывает встроенный конфигурационный блок, закодированный в Base64. Декодированная структура имеет длину 72 байта. RFRx003 использует Mongoose - встраиваемый событийно-ориентированный C-фреймворк для HTTP/WebSocket. Поверх Mongoose реализованы два транспортных режима: HTTPS и WSS. Также реализует полноценный набор команд для разведки, файловой работы, туннелирования трафика через SOCKS5 и запуска интерактивной оболочки через PTY. Дополнительный дроппер - shell-скрипт pkgmgr - скачивал второй экземпляр бэкдора из инфраструктуры атакующих, используя в качестве имени файла package.json для маскировки под пакет npm. Для получения root-доступа был размещен исполняемый файл bash с выставленным SUID-битом. Атакующие использовали бэкдор для построения SOCKS5-туннелей, через которые осуществляли боковое перемещение и в конечном счете похитили данные почтовых ящиков сотрудников. Примененные техники - маскировка под системный NTP-сервис, исполнение полезной нагрузки из /dev/shm, использование SUID-bash для тихого повышения привилегий, загрузка бэкдора под именем package.json - отражают наличие у атакующих опыта работы с linux-инфраструктурой и понимание типичных слепых зон корпоративных средств защиты. В целом, инструментарий кампании не совпадает с ранее описанными публично наборами вредоносного ПО. RFRx003 является кастомно разработанным имплантатом с профессиональной архитектурой. Технические подробности и IOCs - в отчете.