Снова влипли: группировка Hive0117 использует новое ВПО для кибератак на бухгалтеров

Компания F6, российский разработчик технологий для борьбы с киберугрозами, зафиксировала новую волну атак киберпреступной группировки Hive0117 на российские компании, в которых впервые используют банковский троян FMVT RAT. За месяц злоумышленники совершили около 100 успешных атак. Об этом CNews сообщили представители F6.

Средняя сумма ущерба по сравнению с началом года продолжает расти и составила в августе-сентябре 10-12 млн руб. Вредоносные письма с новым ВПО направляли в адрес компаний из таких отраслей, как ретейл, строительство, логистика и транспорт, промышленность, туризм, образование, медицина, ТЭК и др. Киберпреступники маскируют рассылки под счета на оплату, акты сверки, накладные и уведомления о задолженности.

Злоумышленники перевооружились

Аналитики департамента киберразведки (Threat Intelligence) компании F6 в августе 2026 г. обнаружили почтовые рассылки ранее неизвестной вредоносной программы в адрес российских компаний. Письма направляли под видом счетов на оплату, актов сверки, накладных и уведомлений о задолженности от имени финансовых подразделений организаций.

Злоумышленники провели рассылки с новым ВПО в адрес более 100 российских компаний из таких отраслей, как ретейл, строительство, логистика и транспорт, промышленность, туризм, образование, медицина, ТЭК и др. В адресах большинства получателей писем присутствует *buh*, что указывает на вероятную цель злоумышленников – бухгалтеров из российских организаций. Вредоносные рассылки клиентам компании F6 были успешно заблокированы системой защиты корпоративной почты F6 Business Email Protection (F6 BEP).

В ходе исследования нового вредоносного ПО специалисты F6 атрибутировали его киберпреступной группировке Hive0117.

Hive0117 – финансово мотивированная группировка. Действует с конца 2021 г. Нацелена на финансовые подразделения компаний из различных отраслей. Помимо России, среди целей – организации из Белоруссии, Узбекистана и Казахстана. Для группировки характерны периодические простои продолжительностью до нескольких месяцев, за которыми следуют всплески масштабной активности.

Первую волну активности Hive0117 в 2026 г. исследователи F6 зафиксировали в феврале-апреле. Тогда злоумышленники провели рассылки, ориентированные на бухгалтеров, в адрес более 3000 российских компаний из разных отраслей. За это время, по данным F6, Hive0117 совершила около 400 успешных атак на российские организации. Средняя сумма ущерба от первых атак группировки составляла 3 млн руб., а впоследствии увеличилась до 10 млн руб.

Затем наступило продолжительное затишье: на следующие несколько месяцев Hive0117 пропала с «радаров». За это время злоумышленники успели перевооружиться и вместо бесфайлового вредоносного ПО DarkWatchman начали использовать новый банковский троян удаленного доступа FMVT RAT.

Как работает новое ВПО

FMVT RAT – банковский троян удаленного доступа с многоступенчатым процессом заражения.

Среди его отличительных особенностей – он незаметно перехватывает все, что пользователь копирует в буфер обмена, включая пароли, накапливает эти данные в памяти, а затем, вероятно, отправляет их на сервер злоумышленника. Также ВПО собирает телеметрию (данные о состоянии и активности устройства), поддерживает подмену содержимого страниц (веб-инжекты).

Еще одна функция нового трояна – он ищет подключенные к устройству смарт-карт ридеры (устройства для чтения смарт-карт). Такие устройства обычно используют в организациях для защищенной работы с конфиденциальными данными, проверки цифровой подписи при подписании юридически значимых документов – включая платежные поручения.

Подобное поведение ВПО – признак его вероятного использования в атаках на системы дистанционного банковского обслуживания (ДБО). Проверка наличия криптографического токена, вставленного в USB-разъем компьютера, особенно важна для злоумышленников, так как позволяет пройти аутентификацию в кабинете ДБО юридического лица и получить возможность провести финальный этап атаки.

Кроме того, троян ищет установленные на устройстве антивирусы или EDR-агенты (программные модули, которые собирают телеметрию и анализируют ее для выявления сложных и неизвестных угроз).

Заражение происходит, когда при открытии архива под видом счета, акта или другого документа пользователь запускает скрытый внутри файл. После этого злоумышленники могут получить доступ к системам дистанционного банковского обслуживания, через которые бухгалтеры совершают платежные операции, и вывести деньги со счета компании.

По оценкам департамента противодействия финансовому мошенничеству (Fraud Protection) компании F6, за месяц с 13 августа по 12 сентября 2026 г. группировка Hive0117 совершила около 100 успешных атак на российские компании. Средняя сумма ущерба от этих атак составила 10-12 млн руб. – больше, чем во время первой волны атак в начале 2026 г.

Рекомендации F6 для бухгалтеров и специалистов финансовых подразделений

Не открывайте без проверки файлы, полученные от неизвестных отправителей.

При подозрении на наличие вредоносной активности на ПК изолируйте устройство от внешней сети.

Рекомендации F6 для подразделений информационной безопасности банков

Усилить защиту клиентов средствами сессионного и транзакционного антифрод-решения.

Систематически напоминать клиентам об опасности фишинговых рассылок и загрузке файлов с недоверенных веб-ресурсов.

Рекомендовать клиентам использовать изолированные рабочие станции для систем ДБО с ограниченным доступом в интернет.

Рекомендовать клиентам не оставлять средство подписи (токен) в компьютере.

Реализовать на устройстве пользователя дополнительные меры защиты по выявлению сторонних вредоносных приложений.

При реализации двухфакторной авторизации через СМС учитывать установленные приложения для чтения СМС на устройстве пользователя.

В рамках пользовательских сессий в веб-канале учитывать данные, косвенно свидетельствующие об удаленном подключении к устройству пользователя.