Группировка Hive0117 перешла на новый банковский троян для атак на бухгалтеров
Компания F6 сообщила о новой волне атак киберпреступной группировки Hive0117 на российские компании. В ходе этих атак впервые было зафиксировано использование нового банковского трояна удаленного доступа FMVT RAT. Об этом SecPost рассказали в компании.
По данным F6, в августе 2026 года аналитики департамента киберразведки обнаружили почтовые рассылки ранее неизвестной вредоносной программы. Письма направлялись от имени финансовых подразделений организаций под видом счетов на оплату, актов сверки, накладных и уведомлений о задолженности. Рассылки были адресованы более чем 100 российским компаниям из отраслей ретейла, строительства, логистики и транспорта, промышленности, туризма, образования, медицины и ТЭК. В адресах большинства получателей присутствует buh, что, как отмечается в сообщении, указывает на вероятную цель злоумышленников — бухгалтеров.
В ходе исследования специалисты F6 атрибутировали новое ВПО группировке Hive0117. Как сообщили в компании, это финансово мотивированная группировка, действующая с конца 2021 года и нацеленная на финансовые подразделения компаний. Помимо России, ее целями являются организации из Беларуси, Узбекистана и Казахстана.
Согласно сообщению компании, первая волна активности Hive0117 в 2026 году была зафиксирована в феврале-апреле. Тогда рассылки были направлены более чем 3000 российских компаний, а количество успешных атак составило около 400. Средняя сумма ущерба от первых атак составляла 3 млн рублей, впоследствии увеличившись до 10 млн рублей. После этого наступило затишье, в течение которого злоумышленники сменили бесфайловое ВПО DarkWatchman на новый троян FMVT RAT.
Как указывается в сообщении F6, FMVT RAT представляет собой банковский троян удаленного доступа с многоступенчатым процессом заражения. Среди его функций — перехват данных, копируемых в буфер обмена (включая пароли), сбор телеметрии, поддержка веб-инжектов, а также поиск подключенных смарт-карт ридеров и установленных антивирусов или EDR-агентов. Заражение происходит при запуске скрытого файла внутри архива, замаскированного под документ.
По оценкам департамента противодействия финансовому мошенничеству F6, за месяц с 13 августа по 12 сентября 2026 года группировка совершила около 100 успешных атак на российские компании. Средняя сумма ущерба составила 10–12 млн рублей.
В сообщении компании также приводятся рекомендации для бухгалтеров и специалистов финансовых подразделений, включая проверку файлов от неизвестных отправителей и изоляцию устройства при подозрении на заражение. Для подразделений информационной безопасности банков рекомендовано усилить защиту клиентов средствами сессионного и транзакционного антифрода, а также информировать клиентов о рисках фишинговых рассылок.
Читайте также
