Вот вам свежая история из мира кибербезопасности, где злодеи не носят плащи и маски, а прячутся в невинных строках кода. Представьте себе: 1 июля 2026 года — день, когда эксперты из MalwareHunterTeam обнаружили новую киберугрозу, которая решила сыграть в кошки-мышки с сетевым оборудованием. Но это не просто вирус-однодневка, а настоящий шпион в мире маршрутизаторов! Речь идет о бэкдоре для Linux, который подкрался к китайским маршрутизаторам iKuai. Этот вредоносный файл с загадочным именем libjson_script.so.0 был загружен на VirusTotal из Японии — и тут началось настоящее расследование.
Если бы этот бэкдор был человеком, он бы наверняка сказал: «Я не злодей, я просто библиотека!» Потому что его главная хитрость — маскироваться под легитимный компонент OpenWrt. Представьте себе такую сцену: системный администратор за чашкой кофе смотрит список файлов и думает: «Ага, вот же моя проверенная библиотека!» И даже не подозревает, что эта библиотека — как тот сосед по лестничной площадке, который кажется милым и тихим, а на самом деле тайно крадет ваши носки. Злоумышленники явно хорошо изучили архитектуру прошивки и знают, как обмануть систему так же легко, как коты открывают холодильник.
Попав на устройство, этот бэкдор запускает сложную цепочку инициализации и начинает свою работу с отказоустойчивой связью с командным центром. Тут можно вспомнить старый анекдот: «Почему хакеры любят Linux? Потому что там можно спрятаться так глубоко, что даже сам Тарзан заблудится». Вредонос как раз такой — он ориентирован только на маршрутизаторы iKuai и умеет узнавать их по уникальному идентификатору шлюза (GWID). Если идентификатор вдруг отсутствует — не беда! Бэкдор сам его сгенерирует. Это не массовая атака типа «все подряд», а целенаправленная операция — словно шеф-повар выбирает ингредиенты для своего фирменного блюда.
После установки вредонос начинает тихонько работать в фоне: настраивает планировщик задач и входит в режим ожидания команд от своего хозяина через сервер управления по адресу 47.80.111.129:7380. Интервал между сеансами связи ровно час — чтобы не шуметь лишний раз в сети и оставаться незамеченным. Как говорится, лучше один раз тихо постучать в дверь, чем постоянно звонить в колокольчик у соседей.
Ответы от сервера приходят в виде зашифрованных JSON-пакетов — настоящих секретных посланий из мира киберпреступников. Расшифровка этих пакетов открывает полный набор команд для контроля над заражённым устройством: от сбора данных до закрепления внутри сети жертвы. Это уже не просто шалость подростков-программистов, а серьезная работа профессионалов.
Кстати говоря, эта история напоминает мне байку про одного администратора серверов из моего знакомого круга: однажды он обнаружил на своём маршрутизаторе странный файл с названием похоже на библиотеку OpenWrt. Он подумал: «Ну всё, пришёл конец», но оказалось — это была просто шутка коллеги-программиста ко Дню смеха! Вот только наш герой теперь относится к таким файлам гораздо серьезнее.
В целом ситуация показывает тревожный тренд в мире киберугроз: если раньше злоумышленники предпочитали массовые атаки вроде дождя из пуль по всему фронту (или спама по почтовым ящикам), то сейчас они переходят к точечным ударам — хирургически выверенным операциям против конкретных моделей устройств или даже отдельных компаний.
Бэкдор, маскирующийся под библиотеку, как тихий сосед, крадущий носки.