В августе 2026 года российские организации столкнулись с волной писем, вложения в которых выглядели как счета и акты сверки. Внутри скрывалась ранее неизвестная вредоносная программа FMVT RAT. За несколько недель письма получили сотрудники более чем ста компаний - от розничной торговли и строительства до логистики, медицины и топливно-энергетического комплекса. Основной адресат рассылок - бухгалтерия. Конечная цель - не кража переписки, а вывод денег со счетов организаций.
Описание
Почтовые адреса получателей выдавали замысел: в именах большинства из них встречалось характерное сочетание, по которому легко узнать бухгалтерский ящик. Темы писем тоже не отличались оригинальностью - счёт на оплату, задолженность по оплате, акт сверки, накладная. Отправителями выступали финансовые подразделения, а часть писем уходила со взломанных чужих почтовых аккаунтов, поэтому проверка адреса отправителя ничего не давала. Рассылки шли волнами: 11-14 и 17-19 августа, 23-24 и 27 августа, 30-31 августа, 2-4 и 6-7 сентября. В одной из волн архив с вредоносным файлом защитили паролем - так его сложнее проверить автоматическими средствами защиты почты.
Активность связали с киберпреступной группировкой Hive0117. По данным F6, совпадают сразу несколько признаков: темы писем, оформление вложений под акты сверки и счета, рассылка от имени финансовых подразделений, множественные адресаты в одном письме, использование скомпрометированных ящиков и та же схема построения резервных адресов управляющих серверов, что и у прежней программы группы DarkWatchman. Часть командно-контрольных серверов размещена на том же хостинге, что и раньше. Группировка работает с конца 2021 года, мотив - деньги; кроме России её интересуют организации Беларуси, Узбекистана и Казахстана. С апреля 2026 года следов её активности не наблюдалось.
За паузу злоумышленники сменили инструмент. Новую программу выдают две особенности. Первая - она ищет подключённые к компьютеру устройства для чтения смарт-карт. Такие считыватели стоят в организациях, где юридически значимые документы подписывают электронной подписью, в том числе платёжные поручения. Наличие вставленного токена подсказывает, что на машине можно пройти проверку подлинности в кабинете дистанционного банковского обслуживания и довести атаку до перевода денег. Вторая - жертв выбирают среди сотрудников, у которых есть доступ к таким операциям. Итог оказался весомым: с 13 августа по 12 сентября 2026 года группировка провела более ста успешных атак, средний ущерб в одном случае составил 10-12 млн рублей. Весной того же года рассылки уходили более чем в три тысячи компаний, тогда успехом закончились около четырёхсот попыток, а средняя сумма ущерба выросла с 3 до 10 млн рублей.
Цепочка заражения выглядит для пользователя буднично. Он открывает архив, запускает файл, видит окно с сообщением об ошибке чтения - и не замечает ничего дальше. Программа тем временем копирует себя в служебную папку, распаковывает в память установщик, создаёт каталог под видом системной службы мультимедиа и прячет там свои компоненты под имена, похожие на файлы кэша. Закрепление строится на системном механизме COM-объектов, который Windows применяет для автоматического запуска приложений. Точкой запуска выбран обработчик контекстного меню проводника: достаточно щёлкнуть правой кнопкой по пустому месту в папке, чтобы вредоносный модуль загрузился вместе с проводником.
Отдельный блок отвечает за работу с браузерами. Программа следит за запуском Chrome, Edge, Яндекс Браузера и Brave, дописывает в параметры запуска собственные значения и открывает отладочный интерфейс, через который управляет вкладками. Такой подход позволяет подменять содержимое страниц и вставлять поддельные формы прямо в окно банковского кабинета, не внедряясь в память браузера, - для защитных средств это менее заметно. Параллельно ведётся журнал буфера обмена: всё скопированное сохраняется вместе с названием активного окна и точным временем. В этот журнал попадают реквизиты платежей, логины и пароли, которые сотрудник копирует в течение дня. Ещё один модуль собирает сведения о системе, правах пользователя и установленных средствах защиты, а затем передаёт их на сервер злоумышленников.
Связь с управляющим сервером (C2-сервером) программа поддерживает через адреса, которые генерирует сама по алгоритму DGA (алгоритм генерации доменных имён). Список получается почти случайным, но воспроизводимым: перебирается до двухсот вариантов, пока не найдётся рабочий. С сервера приходят команды - показать окно с текстом, скачать и запустить файл, выполнить команду в командной строке, исполнить сценарий PowerShell, загрузить дополнительный модуль в память, отправить журнал, обновить себя или полностью удалить. Есть и команда, оставляющая на машине след: при следующем входе пользователя компьютер выключается. Отдельная функция - прекращение процессов защитных программ, мешающих работе.
С середины августа 2026 года злоумышленники перешли на версию 1.9. Изменения небольшие: появился упаковщик, усложняющий анализ, часть отладочных записей больше не сохраняется на диск, зато добавилась упомянутая блокировка системы. Схема, набор модулей и функции остались прежними. На одном из заражённых устройств удалось получить второй инструмент - S2CHVNC, он же LOBSHOT. Это модуль, создающий скрытый виртуальный рабочий стол (HVNC): злоумышленник управляет компьютером так же, как через обычную программу удалённого доступа, но происходящее на экране не видно пользователю. В связке с прежней программой DarkWatchman этот инструмент уже применялся.
Организациям, работающим с платежами, разумно выделить бухгалтерские операции на изолированное рабочее место, включить двухфакторную аутентификацию во всех кабинетах, ограничить права сотрудников и не открывать вложения, если смысл письма не подтверждён по другому каналу связи. Полезно проверять, не запускается ли браузер с отладочными параметрами, и следить за появлением посторонних обработчиков в контекстном меню проводника. Возвращение группировки после четырёхмесячной паузы показывает: финансово мотивированные атаки на российский бизнес не прекращаются, а инструменты обновляются прямо по ходу кампании.
Индикаторы компрометации
