С начала 2026 года группировка Hive0117 совершила около 400 успешных атак на российские компании. Главная цель - бухгалтеры. Средняя сумма ущерба в марте и апреле выросла с 3 млн до 10 млн рублей. Деньги уходят на счета дропов, а часть платежей оформлена как перечисление зарплаты.
Описание
Схема начинается с письма. Бухгалтер получает сообщение с темой про счёт на оплату, акт сверки, накладную или задолженность. Иногда тема выглядит как пересланное письмо с документами от конкретной даты. Внутри - архив с паролем, а пароль указан в тексте сообщения. Такой приём нужен, чтобы фильтры почтовых сервисов и антивирусы не распознали угрозу внутри вложения. Пользователь вводит пароль, открывает файл и запускает скрытую программу.
Вредоносное ПО под названием DarkWatchman распространяется именно через такие рассылки. Программа относится к категории бесфайловых - её основная часть работает в оперативной памяти и не оставляет привычных файлов на диске, поэтому обнаружить её сложнее. По данным F6, рассылки затронули более 3000 российских компаний из разных отраслей. Пик пришёлся на февраль и март, затем количество писем сократилось в десятки раз. Клиентам компании угрозу заблокировала система защиты корпоративной почты F6 Business Email Protection. За пределами России получателями оказались организации из СНГ: как минимум 6 компаний в Беларуси, включая телеком, промышленность и торговлю, 3 в Казахстане, среди них интернет-магазины и предприятие химической промышленности, и одна в Узбекистане - производитель напитков.
Группировка работает с конца 2021 года. Её отличают длительные паузы: по нескольку месяцев активности не наблюдается вовсе, а затем следуют всплески массовых рассылок. Злоумышленники маскируются под реальные организации, заранее готовят инфраструктуру для писем и управляющих серверов, а домены нередко используют повторно, что затрудняет их отслеживание. Основной интерес для Hive0117 представляют финансовые отделы, а не рядовые сотрудники.
После заражения компьютера на устройство загружается модуль перехвата нажатий клавиш. Он собирает введённый текст, следит за содержимым буфера обмена, фиксирует название активного окна. Отдельная задача модуля - проверить, подключён ли к компьютеру криптографический токен, вставленный в USB-разъём. Для дистанционного банковского обслуживания юридического лица такой токен обязателен при входе в кабинет. Пока устройства нет, второй этап атаки не запускается.
Подтвердить операцию в системе банка клиент может двумя способами: физическим токеном или кодом из СМС. От этого зависит дальнейший сценарий. В первом случае, как только жертва вставляет токен, злоумышленники устанавливают программу удалённого доступа. Она позволяет управлять экраном чужого компьютера. Чаще всего применяют легитимные средства администрирования и вредоносные модули со скрытым виртуальным рабочим столом - технологией, при которой оператор атакующих видит и контролирует отдельный рабочий стол, невидимый для владельца машины. Во втором случае на смартфон жертвы ставится приложение для Android, перехватывающее коды подтверждения из СМС.
Новизна кампании 2026 года - в способе вывода денег. Банковские антифрод-решения, которые защищают частных клиентов, за доли секунды проверяют каждую операцию по множеству признаков: устройство, установленные приложения, контекст платежа, поведение пользователя. Подозрительный перевод они блокируют. Со счетами организаций всё иначе. Получив удалённый доступ к кабинету бухгалтера, преступники оформляют платежи по реестру. Формально это выглядит как выплата зарплаты сотрудникам. Фактически в реестре указаны счета дропов - подставных лиц, через которых деньги уходят дальше. Если такие операции не проходят через антифрод-системы, компания теряет крупные суммы за один платёж.
Инструменты атаки различаются по назначению. Первая программа обеспечивает скрытое проникновение, собирает базовые сведения о компьютере, версии операционной системы, установленном антивирусе и правах пользователя. Эти данные помогают решить, стоит ли продолжать работу на конкретной машине и какое вредоносное ПО установить дальше. Модуль перехвата клавиш, помимо сбора нажатий, отслеживает подключение смарт-карт и умеет запускать дополнительный код. Третья программа даёт полный контроль над рабочим столом и отдельное внимание уделяет браузерам.
Работа с браузером - ключевая часть схемы, ведь кабинет банка открывается именно там. Вредоносная программа умеет запускать популярные обозреватели в изолированном профиле с копией пользовательских данных. Сохранённые пароли, активные сессии, история посещений остаются доступны злоумышленнику, а владелец компьютера ничего не замечает. Есть и режим работы прямо в профиле жертвы: тогда все открытые окна браузера закрываются, и дальше атакующий действует от имени бухгалтера.
Отдельная опасность связана с копированием содержимого буфера обмена. Злоумышленники могут подменять реквизиты в платёжном поручении, скопированном из письма или документа. Сотрудник вставляет данные, не сверяя их построчно, и подтверждает операцию с чужими реквизитами.
Защита от таких атак строится на нескольких простых правилах. Настройте двухфакторную аутентификацию там, где она возможна, и не подтверждайте операции, смысл которых вызывает сомнения. Проверяйте реквизиты получателя при каждом платеже, особенно если речь идёт о массовых реестрах. Ограничьте права бухгалтерских рабочих мест: лишние привилегии администратора облегчают злоумышленникам закрепление в системе. Расскажите сотрудникам о письмах с вложениями под паролем - это устойчивый признак фишинга. Регулярно обновляйте операционную систему и офисные программы, а также сохраняйте резервные копии документов отдельно от рабочих машин.
Тенденция очевидна: ставка на людей, которые проводят платежи, а не на технические уязвимости инфраструктуры. Пока переводы внутри компаний проверяются слабее, чем операции частных клиентов, этот способ остаётся выгодным для преступных групп.
Индикаторы компрометации
