По сообщению ГК "Солар", эксперты центра расследования киберугроз Solar 4RAYS обнаружили новую атаку APT-группировки NGC5081. Злоумышленники применили обновленную версию шпионского бэкдора IDFKA, чье название - отсылка к чит-коду из игры Doom, дающему игроку все оружие, броню и ключи от всех дверей на уровне. Ирония заключается в том, что IDFKA - это бэкдор, вредоносное программное обеспечение (ВПО) скрытого удаленного доступа. Он позволял атакующим управлять зараженной системой, изучать содержимое компьютеров и серверов, перемещаться между ними и красть данные.

"Впервые Solar 4RAYS обнаружили и описали его в расследовании атаки через подрядчика на несколько компаний РФ в 2025 г. Тогда IDFKA позволил злоумышленникам незаметно оставаться в инфраструктуре подрядчика не менее десяти месяцев. С новым образцом IDFKA эксперты столкнулись в июне 2026 г. Служба информационной безопасности крупной российской компании обнаружила на одном из серверов подозрительный файл. Эксперты Solar 4RAYS определили в нем новую версию IDFKA, бэкдора, которым, кроме NGC5081, никто не пользуется. После этого в Solar 4RAYS решили проверить всю инфраструктуру компании на другие следы NGC5081. Результат оказался неутешительным. С мая по июль 2026 г. запущенные похожим образом процессы IDFKA нашлись в нескольких десятках систем. Дальнейшее расследование показало, что проникновение в компанию случилось гораздо раньше, еще весной 2024 г.", - говорится в сообщении компании.

https://www.comnews.ru/content/247691/2026-10-05/2026-w41/1008/kibermoshenniki-podruzhilis-iskusstvennym-intellektom

Отсылку к игре Doom в названии ВПО, одному из родоначальников жанра "шутер", эксперты Solar 4RAYS заметили еще в 2025 г., однако обратили внимание, что оно содержит ошибку - в нем перепутаны буквы F и K. В новой версии программы злоумышленники ошибку исправили. По словам старшего инженера центра исследования киберугроз Solar 4RAYS ГК "Солар" Дениса Чернова, отсылка злоумышленников к чит-коду позволила дать имя семейству ВПО при первом обнаружении. Он отметил, что при более глубоком анализе последних образцов IDFKA эксперты "Солар" обнаружили другие интересные строки, например вероятное рабочее (внутреннее) название этого проекта, отсылающее к другой популярной старой игре - Mario.

"Отсылки к произведениям массовой культуры достаточно часто встречаются среди работ программистов и в целом ИТ-специалистов. Хакеры - не исключение. Ранее мы уже писали о том, что в коде ВПО группировки Erudite Mogwai также встречались различные отсылки к массовой культуре, например, к стихотворению "Ворон" Эдгара Аллана По, к "Модели Пикмана" Говарда Лавкрафта и к серии книг "Гарри Поттер" Джоан Роулинг", - отметил Денис Чернов.

По словам старшего эксперта Kaspersky GReAT АО "Лаборатория Касперского" Григория Кучерина, отсылки к видеоиграм, фильмам и музыке в названиях вредоносных программ встречаются достаточно часто. Он заметил, что разработчики - часть цифровой культуры, и подобные названия могут быть внутренними шутками, "пасхалками" или просто запоминающимися обозначениями.

"Иногда это своеобразная подпись автора, но не стоит воспринимать ее как прямую подсказку о злоумышленнике. Отсылка к чит-коду из Doom, открывающему доступ ко всему оружию и ключам, особенно символична для бэкдора, предоставляющего доступ к системе. Впрочем, для атрибуции атаки специалисты прежде всего анализируют технические особенности вредоносного ПО, инфраструктуру и методы работы злоумышленников", - отметил Григорий Кучерин.

https://www.comnews.ru/content/247692/2026-10-05/2026-w41/1008/klienty-ib-kompaniy-khotyat-bolshey-kooperacii-mezhdu-nimi

Инженер по безопасности ООО "Свордфиш секьюрити" (Swordfish Security) Дмитрий Алексеев заметил, что такие отсылки появляются из-за человеческого фактора. Так, программисты выбирают названия, понятные им, отражающие их интересы или просто кажущиеся забавными. Он отметил, что внутренняя шутка может со временем стать частью названия проекта, а узнаваемая отсылка - своеобразной подписью автора. Иногда за этим может стоять и желание продемонстрировать собственную осведомленность или подшутить над исследователями, которым впоследствии предстоит разбирать вредоносный код. При этом далеко не каждая такая деталь является намеренной пасхалкой: порой это всего лишь удобное имя переменной, которое разработчик не стал менять.

Руководитель направления Threat Intelligence и сервиса PT Fusion АО "Позитив текнолоджиз" Денис Кувшинов сообщил ComNews, что такие пасхалки встречаются регулярно, но достоверной статистики по ним нет. По его словам, многие названия ВПО дают исследователи, а внутренние имена разработчиков становятся известны только в том случае, если они сохраняются в коде, конфигурации или отладочной информации.

"Игровые и другие поп-культурные отсылки для хакерской среды вполне естественны. Многие специалисты и злоумышленники выросли на одних и тех же играх и фильмах. Такие названия короткие, запоминающиеся и помогают отличать один внутренний проект от другого. Для преступных сервисов и программ-вымогателей название дополнительно становится брендом: оно должно хорошо выглядеть на форуме, запоминаться покупателям и производить впечатление на жертву. Известны и другие примеры. Ботнет Mirai был назван в честь аниме Mirai Nikki, внутри шпионской платформы ProjectSauron использовалось имя Саурона из "Властелина колец", а вымогатель Jigsaw показывал жертвам персонажа из серии фильмов "Пила". В коде также находят имена героев, цитаты из песен и фильмов, мифологических персонажей, шуточные сообщения, псевдонимы разработчиков и даже оскорбления в адрес исследователей. Но пасхалку не следует автоматически считать подписью автора. Строка могла попасть в программу из чужой библиотеки, быть выбрана случайно или намеренно оставлена как ложный след", - отметил Денис Кувшинов.

Не забывают злоумышленники и о культуре Востока. Руководитель BI.ZONE Threat Intelligence ООО "Бизон" Олег Скулкин сообщил ComNews, что в коде вредоносного ПО BrokenDoor от группировки Hoody Hyena обнаружен комментарий с отсылкой к "Тетради смерти": в нем упоминаются яблоки, которые любит персонаж этого аниме - синигами Рюк. А один из разработчиков ВПО CMoon, связанного с группировкой Iridescent Hyena, использовал вариант названия CM00nImplant, отсылающее к персонажу C-Moon из аниме "Невероятные приключения ДжоДжо".

"Отсылки встречаются и в инструментах для проведения атак. Например, Evilginx - фреймворк для фишинговых атак типа "человек посередине" (MitM) - может перенаправлять жертву на музыкальный клип Рика Эстли Never Gonna Give You Up. Такой прием, известный как рикролл, используют для маскировки и защиты инструмента. Иногда злоумышленники оставляют в коде ВПО послания, адресованные исследователям кибербезопасности. Например, шифровальщик Babuk создает именованный объект синхронизации Windows (Mutex) с провокационной отсылкой к исследователю Чуонгу Донгу (Chuong Dong), который в январе 2021 г. опубликовал анализ ранней версии Babuk. Подобные отсылки могут отражать интересы разработчиков или служить авторскими метками в коде вредоносных программ. Однако такие случаи - скорее исключение, чем распространенная практика", - отметил Олег Скулкин.

Попался на ошибке

"В расследовании центра также отмечается, что NGC5081 по-прежнему не атрибутирована к какому-либо региону или известной группировке. Однако в текстовых сообщениях об ошибках, которые IDFKA отправляло злоумышленникам, специалисты нашли много необычных опечаток в английских словах. Они могут указывать на родной - испанский - язык как минимум одного из разработчиков. В меньшем количестве замечены ошибки, специфика которых указывает на португальский и французский языки", - говорится в сообщении ГК "Солар".

Денис Чернов добавил, что ошибки, связанные с раскладкой клавиатуры или особым написанием слов, встречаются достаточно часто, особенно в более простых атаках. Их можно найти в журналах или логах систем - когда атакующие при вводе учетных данных или команд в терминале забывают сменить раскладку. По его словам, в коде образцов ВПО такие ошибки встречаются реже, потому что у атакующих есть шанс их заметить и исправить.

"Испаноязычные группировки довольно редки. Нам известно о двух: Careto и Machete, но в последнее время в публичном доступе не было информации об их активности", - отметил Денис Чернов.

Денис Кувшинов добавил, что среди следов злоумышленников могут быть комментарии и названия функций, тексты ошибок, пути к файлам с именем пользователя, настройки локальной сети и клавиатуры, часовой пояс компьютера разработчика или команд, которые оператор вводил вручную. По его словам, у менее дисциплинированных групп такие артефакты встречаются часто, а зрелые APT-команды стараются удалять их из финальной сборки.

"Однако определить страну по нескольким опечаткам нельзя. Языковая интерференция позволяет предположить, что английский не был родным для одного из разработчиков и что он, возможно, говорил по-испански. Но этот человек мог жить в любой стране, быть участником международной команды или внешним подрядчиком. Код мог быть заимствован, а языковые следы - намеренно подброшены. Поэтому в профессиональной атрибуции язык является лишь одним косвенным признаком наряду с инфраструктурой, целями атак, часовыми поясами, повторным использованием кода, аккаунтами и оперативными ошибками. Если говорить об известных испаноязычных кластерах, в открытых исследованиях чаще всего фигурируют Испания и северная часть Южной Америки - прежде всего Колумбия, Эквадор и Венесуэла. Например, мы обнаружили вредоносную кампанию Phantom Enigma, направленную преимущественно на жителей Бразилии с целью кражи банковских аккаунтов. Blind Eagle проводила локализованные кампании против организаций Колумбии и Эквадора, а Machete атаковала государственные и военные структуры в странах Латинской Америки. В Мексике была подробно описана операция Dark Tequila, которую исследователи связывали с испаноязычными разработчиками латиноамериканского происхождения", - отметил Денис Кувшинов.

Григорий Кучерин отметил, что, хотя языковые ошибки в коде и могут дать исследователям зацепки о происхождении злоумышленника, они остаются лишь косвенными признаками. Код могли написать одни люди, а использовать другие, а языковые особенности можно и намеренно подделать.