Хакеры-поклонники Doom два года шпионили в сети российской компании

Эксперты «Солара» обнаружили в сети крупной российской компании шпионскую программу группировки NGC5081. Хакеры пробрались внутрь весной 2024 года и тихо собирали информацию до лета 2026-го. Название программы отсылает к чит-коду из игры Doom, и опечатки в её тексте намекают на испаноязычного автора.

Хакерская группировка NGC5081 снова атаковала российскую компанию. Злоумышленники проникли в сеть весной 2024 года через уязвимый веб-сервис и около двух лет следили за происходящим внутри. Заметили их в июне 2026 года: служба безопасности нашла на сервере подозрительный файл. Позже вредоносная программа обнаружилась в нескольких десятках систем.

Программа называется IDFKA и позволяет хакерам удалённо управлять чужими компьютерами и копировать данные. Название взято из чит-кода к игре Doom 1993 года, который выдавал игроку всё оружие. В новой версии хакеры исправили опечатку в названии, добавили команды и научили программу запускаться заново под видом обычных программ даже после перезагрузки сервера.

Опечатки в сообщениях об ошибках указывают на то, что среди авторов есть носитель испанского языка. Эксперты «Солара» очистили сеть компании от вредоносов и рассказали о находке на SOC Forum 2026.