Центр исследования киберугроз Solar 4RAYS группы компаний «Солар» снова обнаружил шпионскую атаку группировки NGC5081. На этот раз хакеры действовали в сети одной из крупных российских компаний. Они вернулись с обновлённым бэкдором IDFKA для Linux — собственной разработкой NGC5081 для скрытого удалённого доступа. Впервые IDFKA был описан в 2025 году, когда расследовалась атака через подрядчика на несколько российских компаний: тогда бэкдор помог злоумышленникам оставаться незамеченными не менее 10 месяцев. В июне 2026 года служба ИБ крупной российской компании заметила подозрительный файл на одном из серверов. После проверки всей инфраструктуры с мая по июль 2026 года специалисты нашли похожие процессы IDFKA в нескольких десятках систем. Результаты расследования были представлены на SOC Forum 2026.
Экспертный комментарий: Возвращение NGC5081 с усовершенствованным бэкдором демонстрирует, что APT-группировки не исчезают после публичного разоблачения — они учатся и адаптируются. Обновлённый IDFKA «прячется заметно лучше», а присутствие в десятках систем на протяжении нескольких месяцев говорит о зрелости тактик закрепления и горизонтального перемещения. Для защитников это сигнал: обнаружение одного вредоносного файла — лишь верхушка айсберга, и реакция должна включать полную проверку инфраструктуры, а не только изоляцию заражённого хоста. Рекомендация: Внедряйте ретроспективный анализ (retro-hunting) по индикаторам компрометации, полученным от вендоров и CERT, и проводите регулярные учения по поиску угроз (threat hunting) в средах Linux-серверов. Особое внимание стоит уделить сегментации сетей подрядчиков — именно через них NGC5081 проникала в целевые организации.