Хакеры получили доступ к инфраструктуре российского разработчика ПО

Под угрозой оказались организации в разных странах, использующие программы компании. По данным «Лаборатории Касперского», атакующие захватили почтовые серверы, системы резервного копирования, сетевое оборудование, гипервизоры, доменные контроллеры и системы управления средствами информационной безопасности. Доступ к репозиторию исходного кода и серверу подписания сборок мог позволить им незаметно встроить вредоносный код в установочные пакеты.

О подозрительной активности сообщили представители самого разработчика. Уже в первый день расследования специалисты выявили признаки присутствия группы BO Team. В мае 2025 года «Лаборатория Касперского» отнесла ее к проукраинским хактивистам — участникам кибератак, действующим по политическим и идеологическим мотивам.

Чтобы скрыть следы, злоумышленники старались обходиться без вредоносных программ: использовали системные утилиты для кражи учетных данных и развития атаки, маскировали файлы под компоненты операционной системы, удаляли журналы событий и меняли временные метки. После того как компания лишила их доступа к инфраструктуре, хакеры попытались вернуться. Сотрудникам отправили фишинговые письма, подписанные с помощью ранее украденного закрытого ключа DKIM почтового сервера.

Рассылку обнаружили вовремя: атакующим удалось частично обойти защиту, но учетные данные не утекли. Специалисты также создали тестовые стенды, имитирующие инфраструктуру компании, чтобы наблюдать за дальнейшими действиями хакеров.

«По нашей оценке, конечной целью группы могла быть атака на клиентов и контрагентов организации — в том числе через внедрение вредоносного кода в разрабатываемые продукты. По всей видимости, угрозу удалось нейтрализовать», — заявил руководитель центра реагирования на компьютерные инциденты Kaspersky ICS CERT Евгений Гончаров. Он добавил, что этот случай показывает важность защиты разработчиков и производителей программного обеспечения.

Ранее в Kaspersky рассказали, что хакеров для прогосударственных APT-группировок нанимают на закрытых форумах.