Ущерб российских компаний от атак группировки Hive0117 за два месяца вырос втрое

С начала 2026 года киберпреступная группа Hive0117 атаковала более 3000 организаций в России, Беларуси, Казахстане и Узбекистане, сообщили SecPost в компании F6. Около 400 атак на российские компании оказались успешными, средняя сумма ущерба в марте-апреле увеличилась до 10 млн рублей.

Группировка Hive0117 действует с конца 2021 года, использует бесфайловое вредоносное ПО DarkWatchman и нацелена на финансовые отделы организаций. Злоумышленники маскируются под реальные компании, регистрируют инфраструктуру для рассылок, нередко применяя домены повторно. Как указывается в сообщении F6, для группировки характерны всплески активности — после массовых рассылок наступает затишье до нескольких месяцев.

В январе 2026 года злоумышленники начали вредоносные рассылки бухгалтерам. Только в России адресатами стали свыше 3000 компаний из разных отраслей. Кроме того, по данным департамента киберразведки F6, среди получателей оказались как минимум 6 компаний в Беларуси (телеком, промышленность, торговля), 3 — в Казахстане (интернет-магазины, химпредприятие) и 1 — в Узбекистане (производитель напитков). Пик рассылок пришёлся на февраль-март, после чего их количество сократилось в десятки раз. В ряде случаев рассылки проводились от ранее скомпрометированной организации по её контрагентам.

Продолжение ниже

Схема атак: злоумышленники направляли письма под видом деловой переписки с темами «Документы от…», «Счет на оплату», «Накладная», «Акт сверки», «Задолженность по оплате». Вредоносный файл скрывался в EXE-файлах или RAR-архивах под видом документов, пароли к архивам указывались в тексте письма. При открытии архива запускался троян удалённого доступа DarkWatchman. Для доступа к системам ДБО дополнительно устанавливался кейлоггер, перехватывающий данные с клавиатуры и из буфера обмена, а также проверяющий наличие криптотокена в USB. Как только бухгалтер вставлял токен, злоумышленники доустанавливали средство удаленного администрирования для управления экраном, получая доступ к сохранённым паролям и активным сессиям.

В 2026 году группа применила новую тактику: используя удалённый доступ к ДБО, злоумышленники оформляли платежи по реестру под видом перечисления зарплаты, но с указанием счетов дропов. Как отмечается в исследовании, это позволяет обходить антифрод-системы банков.