Hive0117 вывела атаки на бухгалтеров на ущерб в 10 млн рублей

Исследователи сообщили о новой волне атак группировки Hive0117 на финансовые подразделения компаний в России, Беларуси, Казахстане и Узбекистане. С начала 2026 года злоумышленники атаковали более 3000 организаций, а около 400 атак на российские компании оказались успешными. Средний ущерб в марте-апреле вырос с 3 млн до 10 млн рублей.

Группировка действует с конца 2021 года и использует бесфайловое вредоносное ПО DarkWatchman. Целью становятся бухгалтеры: им отправляют письма под видом обычной деловой переписки с темами вроде «Счет на оплату», «Накладная», «Акт сверки» или «Задолженность по оплате». Вложение прячут в EXE-файлах или RAR-архивах с паролем в тексте письма, чтобы снизить шанс обнаружения почтовыми фильтрами.

После запуска файла на компьютер устанавливается троян удаленного доступа. Затем злоумышленники добавляют кейлоггер, чтобы перехватывать ввод, буфер обмена и отслеживать подключение криптографического токена к USB-порту. Это важно для доступа к системам дистанционного банковского обслуживания юрлиц.

Новая тактика Hive0117 связана с выводом денег под видом зарплаты. Получив удаленный доступ к компьютеру бухгалтера, атакующие создают платежи по реестру, где вместо сотрудников указаны счета дропов. Формально операция выглядит как зарплатное перечисление, поэтому при слабой антифрод-проверке платеж может пройти без блокировки.

Исследователи из F6 рекомендует бухгалтерам не открывать вложения от неизвестных отправителей, изолировать подозрительные устройства от сети, а компаниям использовать отдельные рабочие станции для ДБО, не оставлять токены в компьютере и усиливать контроль зарплатных реестров на стороне банковского антифрода.