Представьте: вы сидите в офисе, разбираете рабочую переписку в Microsoft Teams, обмениваетесь файлами и обсуждаете планы. Всё выглядит обычно, никаких подозрений. А в это время через те же самые каналы хакеры могут управлять вирусом, который уже проник в вашу сеть. Звучит как сюжет фильма, но это реальность.
Недавно специалисты Symantec раскрыли любопытную атаку группы DragonForce на крупную американскую сервисную компанию. Злоумышленники больше месяца сидели в сети жертвы и умудрялись оставаться незамеченными. Их секрет заключался в новом модуле Backdoor.Turn, написанном на языке Go. Этот модуль умел получать анонимный гостевой токен через службы идентификации Skype, подключаться к настоящим ретрансляционным серверам Microsoft TURN и устанавливать скрытый канал управления через протокол QUIC. Для системщиков и защитников это выглядело как безобидный исходящий трафик к серверам Microsoft. Никто бы и не подумал копаться в обычной рабочей переписке.
Как именно хакеры попали в сеть, до конца не ясно: возможно, воспользовались уязвимостью в SQL или MSSQL, а может, просто купили доступ у посредников. Но известно, что активность началась ещё в декабре 2025 года. Попав внутрь, они загрузили архив с легитимными программами вроде VirtualBox или DbgView и подложили рядом вредоносную библиотеку. Доверенный файл запускал чужой код, и система считала, что всё в порядке.
Дальше злоумышленники закреплялись в системе: меняли настройки удалённого доступа, создавали новых пользователей и группы, подправляли правила брандмауэра, чтобы их серверы не заблокировали. Для обхода антивирусов они использовали технику с уязвимыми драйверами — подписанными, но дырявыми. Особенно отметился драйвер Huawei, про который раньше никто не слышал в реальных атаках, а также драйверы от Topaz Antifraud, Tower of Fantasy и K7 Security. Один из вредоносных драйверов даже маскировался под компонент Palo Alto.
Когда защита была отключена, хакеры запустили шифровальщик DragonForce, украли данные и зашифровали системы жертвы. Интересно, что Backdoor.Turn установили уже после шифрования. Зачем? Вероятно, чтобы оставить себе лазейку на будущее: вернуться позже, продать доступ другим преступникам или просто следить за восстановлением компании.
Сам бэкдор оказался многофункциональным: он выполняет команды, запускает процессы, сканирует сеть, собирает сертификаты и заголовки веб-страниц, ищет информацию в Active Directory, перемещается по сети с украденными паролями и даже достаёт логины из браузеров на заражённых компьютерах. По оценке Symantec, группа DragonForce, которую связывают с проектом Hackledorb, серьёзно прокачала свои навыки после 2025 года, перейдя от простого вымогательства к сложным техническим операциям.
Этот случай показывает, что доверять привычным сервисам можно, но с осторожностью. Даже обычный Teams сегодня — не просто рабочая переписка, а потенциальный канал для скрытых угроз.
