По данным Kaspersky ICS CERT, хакеры из группировки BO Team несколько месяцев сохраняли доступ к компьютерной сети российского разработчика ПО. После взлома серверов они добрались до части исходного кода и системы, в которой создавали цифровые подписи готовых программ. Вероятно, хакеры планировали внедрить вредоносное ПО в продукты разработчика, чтобы через них атаковать его клиентов.
Как хакеры проникли в инфраструктуру и почему их долго не замечали
В июне 2025 года российская компания, разрабатывающая программное обеспечение для промышленных предприятий, обнаружила подозрительную активность в своей корпоративной сети. Неизвестные пытались подключиться к компьютерам системных администраторов с учетных записей, владельцам которых такой доступ не требовался. Компания обратилась в «Лабораторию Касперского». Специалисты Kaspersky ICS CERT обнаружили следы вредоносных программ и с высокой степенью уверенности установили, что за атакой стоит группировка BO Team. Подробности исследователи опубликовали только 5 ноября 2026 года, спустя почти год: это время понадобилось, чтобы организация устранила недостатки защиты.
Расследование показало, что одним из первых шагов злоумышленников стало подключение к Linux-серверу через SSH — протокол для удаленного управления компьютерами, — доступ к которому был открыт из интернета. Для входа хакеры использовали служебную учетную запись с паролем. Как именно они получили эти данные, неизвестно.
Затем хакеры добрались до VMware vCenter — платформы для управления виртуальными серверами. По нашей версии, они использовали уязвимость Log4Shell, которая позволяет удаленно выполнять команды. Получив права суперпользователя, злоумышленники установили бэкдоры — вредоносные программы для скрытого управления серверами. Они маскировали их под легитимные компоненты, например под СУБД PostgreSQL, а в Windows использовали штатные инструменты администрирования и удаляли следы своих действий. В итоге хакеры захватили практически все ключевые части инфраструктуры: домен, гипервизоры, почтовые серверы, системы резервного копирования и защиты, сетевое оборудование.
Долго оставаться незамеченными им помогали и недостатки безопасности самой компании. Защитное ПО устарело, система мониторинга событий только внедрялась, пароли местами хранились в открытом виде, а разделение корпоративной сети на изолированные участки было недостаточным. Отдельных специалистов по информационной безопасности в организации не было.
По мнению экспертов Kaspersky ICS CERT, за несколько месяцев злоумышленники потеряли осторожность и стали действовать слишком активно, из-за чего атаку удалось обнаружить. После этого сеть организации полностью изолировали от интернета, и злоумышленники потеряли доступ к инфраструктуре. Затем BO Team попыталась восстановить контроль над инфраструктурой через фишинговые письма сотрудникам. Для этого хакеры использовали ранее украденный закрытый ключ DKIM почтового сервера, поэтому письма частично обошли проверки, но рассылку выявили вовремя, и утечки паролей не произошло.
Защита ваших устройств и паролей
Злоумышленники атакуют не только компании, но и обычных пользователей. Kaspersky Premium помогает защищать устройства от вредоносного ПО, а входящий в подписку менеджер паролей — создавать надежные пароли и безопасно хранить их.
Попробовать бесплатноПочему взлом разработчика ПО угрожал его клиентам
В этой атаке BO Team действовала необычно. Ранее группировка похищала конфиденциальные данные, а затем выводила инфраструктуру жертв из строя с помощью программ-шифровальщиков. На этот раз злоумышленники не стали уничтожать или шифровать файлы, хотя конфиденциальную информацию, по данным исследователей, все же похищали. Не было и привычной публикации результатов в Telegram-канале группы. Эксперты Kaspersky ICS CERT предположили, что хакеры преследовали другую цель.
«По нашей оценке, конечной целью группы могла быть атака на клиентов и контрагентов организации — в том числе через внедрение вредоносного кода в разрабатываемые продукты», — отметил Евгений Гончаров, руководитель Kaspersky ICS CERT.
На это указывают несколько находок. BO Team взломала GitLab — платформу, где разработчики хранят исходный код программ, — и получила доступ к части репозиториев. Особый интерес хакеры проявили к серверу, на котором создавали цифровые подписи программ. Защитное ПО заблокировало попытки хакеров запустить вредоносный код на этом сервере.
Цифровая подпись помогает пользователю убедиться, что программу выпустила заявленная компания и после подписания файл не изменяли. Но если бы хакерам удалось внедрить вредоносный код до подписания, зараженная программа тоже могла получить настоящую подпись разработчика. В результате клиенты рисковали установить вредоносное ПО под видом обычного обновления. По данным Kaspersky ICS CERT, атаку удалось остановить до того, как злоумышленники достигли цели. Исследователи не подтвердили ни выпуска зараженного ПО, ни компрометации клиентов через продукты разработчика.
Как компаниям защититься от подобных атак
Злоумышленникам могут помочь как технические уязвимости, так и ошибки в организации безопасности. Чтобы снизить риск подобных атак, компаниям необходимо:
- Ограничить удаленный доступ. Подключения через SSH и RDP — протокол удаленного рабочего стола — должны быть доступны только сотрудникам, которым они необходимы для работы. Для важных учетных записей следует включить двухфакторную аутентификацию и ограничить количество попыток ввода пароля.
- Защитить учетные данные. Пароли нельзя хранить в открытом виде или повторно использовать в разных системах. Для создания и безопасного хранения паролей, а также соблюдения корпоративных парольных политик используйте специальное ПО, например Kaspersky Password Manager для бизнеса.
- Устанавливать обновления. Особенно важно своевременно устранять уязвимости в Windows, Linux, VMware vCenter и других системах, через которые злоумышленники могут получить контроль над инфраструктурой.
- Разделить корпоративную сеть. Даже если хакеры взломают один сервер, у них не должно быть свободного доступа к остальным. Отдельной защиты требуют репозитории исходного кода, системы сборки программ и серверы цифровой подписи.
Не менее важно отслеживать подозрительные действия. В атакованной организации система мониторинга безопасности только внедрялась, поэтому специалисты не могли своевременно выявить все признаки проникновения. Для централизованного контроля можно использовать Kaspersky Unified Monitoring and Analysis Platform. Платформа собирает и сопоставляет события безопасности с разных устройств и серверов, помогая обнаруживать необычные подключения, попытки подбора паролей и другие признаки сложных атак.
Если признаки взлома уже обнаружены, специалисты Kaspersky ICS CERT рекомендуют изолировать скомпрометированные системы, сменить пароли и перевыпустить ключи и сертификаты, к которым могли получить доступ злоумышленники. После этого важно выяснить, как хакеры проникли в инфраструктуру, и устранить недостатки защиты.
Статьи и ссылки по теме:
- Как и почему злоумышленники атакуют разработчиков ПО
- Предотвращение кибератак на цепочки поставок
- Что такое SIEM и как она работает?
Рекомендуемые продукты:
