Кибератака BO Team на российского разработчика ПО раскрыта Лабораторией Касперского

9 ноября 2026 года Лаборатория Касперского сообщила о нейтрализации многомесячной кибератаки группы BO Team на инфраструктуру российского разработчика программного обеспечения. Жертва разрабатывает решения для промышленных предприятий, в основном в странах Восточной Европы. Компания самостоятельно обнаружила подозрительную активность в июне 2025 года и обратилась в Kaspersky ICS CERT.

Масштаб компрометации инфраструктуры

Злоумышленники сохраняли доступ к сети в течение нескольких месяцев. Под их контролем оказались контроллеры домена, почтовые серверы, системы резервного копирования, сетевое оборудование, гипервизоры VMware vCenter через уязвимость Log4Shell CVE-2021-44228, платформа Ansible, системы управления безопасностью, веб-серверы и зоны DNS. Злоумышленники также получили доступ к репозиторию исходного кода через скомпрометированный виртуальный сервер GitLab и к серверу подписи сборок.

Такая глубина проникновения позволяла потенциально внедрять вредоносный код в дистрибутивы без ведома заказчиков. Атака соответствовала классической схеме supply chain attack. При этом группа не шифровала данные и не публиковала заявлений в Telegram, как в предыдущих операциях. Основной целью оставались кража учетных данных, установка бэкдоров и обеспечение скрытого присутствия.

Kaspersky ICS CERT опубликовала подробный технический отчет 5 ноября 2026 года. Публикацию отложили примерно на год, чтобы дать жертве время на устранение последствий. Руководитель Kaspersky ICS CERT Евгений Гончаров подчеркнул необходимость усиленной защиты разработчиков ПО.

Атрибуция и последующие попытки проникновения

Специалисты Лаборатории Касперского с высокой степенью уверенности приписывают атаку группе BO Team. Основаниями стали используемые тактики, инструменты, профиль жертвы и предыдущая активность группы. BO Team ранее позиционировалась как проукраинская хактивистская структура, однако в данном случае перешла к более скрытным операциям.

После устранения угрозы злоумышленники предприняли повторную попытку входа через фишинг с использованием украденного приватного ключа DKIM. Эту активность также заблокировали. Конкретное название пострадавшей компании, точные даты начала атаки и объем скомпрометированных данных не раскрываются. Инцидент не затронул конечных заказчиков.

Значение для рынка промышленного ПО

Случай демонстрирует, что разработчики ПО для промышленного сектора остаются приоритетной целью для APT-групп. Компрометация цепочки поставок может привести к широкому распространению вредоносного кода через легитимные обновления. Российские компании, использующие подобные решения, должны пересмотреть процессы проверки целостности сборок и контроля доступа к системам разработки.

Kaspersky ICS CERT рекомендовала организациям внедрять многофакторную аутентификацию, сегментировать сети и регулярно проводить аудит прав доступа к критическим серверам. Отчет содержит индикаторы компрометации и описания использованных вредоносных программ Shell.Agent.o с техниками timestomping.