Компания F6, российский разработчик технологий для борьбы с киберугрозами, зафиксировала новую волну атак киберпреступной группировки Hive0117 на российские компании, в которых впервые используют банковский троян FMVT RAT. За месяц злоумышленники совершили около 100 успешных атак. Средняя сумма ущерба по сравнению с началом года продолжает расти и составила в августе-сентябре 10-12 млн рублей. Вредоносные письма с новым ВПО направляли в адрес компаний из таких отраслей, как ретейл, строительство, логистика и транспорт, промышленность, туризм, образование, медицина, ТЭК и другие. Киберпреступники маскируют рассылки под счета на оплату, акты сверки, накладные и уведомления о задолженности.
Злоумышленники перевооружились
Аналитики департамента киберразведки (Threat Intelligence) компании F6 в августе 2026 года обнаружили почтовые рассылки ранее неизвестной вредоносной программы в адрес российских компаний. Письма направляли под видом счетов на оплату, актов сверки, накладных и уведомлений о задолженности от имени финансовых подразделений организаций.
Злоумышленники провели рассылки с новым ВПО в адрес более 100 российских компаний из таких отраслей, как ретейл, строительство, логистика и транспорт, промышленность, туризм, образование, медицина, ТЭК и другие. В адресах большинства получателей писем присутствует *buh*, что указывает на вероятную цель злоумышленников – бухгалтеров из российских организаций. Вредоносные рассылки клиентам компании F6 были заблокированы системой защиты корпоративной почты F6 Business Email Protection (F6 BEP). В ходе исследования нового вредоносного ПО специалисты F6 атрибутировали его киберпреступной группировки Hive0117.
Hive0117 – финансово мотивированная группировка. Действует с конца 2021 года. Нацелена на финансовые подразделения компаний из различных отраслей. Помимо России, среди целей – организации из Беларуси, Узбекистана и Казахстана. Для группировки характерны периодические простои продолжительностью до нескольких месяцев, за которыми следуют всплески масштабной активности. Первую волну активности Hive0117 в 2026 году исследователи F6 зафиксировали в феврале-апреле. Тогда злоумышленники провели рассылки, ориентированные на бухгалтеров, в адрес более 3000 российских компаний из разных отраслей. За это время, по данным F6, Hive0117 совершила около 400 успешных атак на российские организации. Средняя сумма ущерба от первых атак группировки составляла 3 млн рублей, а впоследствии увеличилась до 10 млн рублей.
Затем наступило продолжительное затишье: на следующие несколько месяцев Hive0117 пропала с «радаров». За это время злоумышленники успели перевооружиться и вместо бесфайлового вредоносного ПО DarkWatchman начали использовать новый банковский троян удалённого доступа FMVT RAT.
Как работает новое ВПО
FMVT RAT – банковский троян удалённого доступа с многоступенчатым процессом заражения.
Среди его отличительных особенностей – он незаметно перехватывает всё, что пользователь копирует в буфер обмена, включая пароли, накапливает эти данные в памяти, а затем, вероятно, отправляет их на сервер злоумышленника. Также ВПО собирает телеметрию (данные о состоянии и активности устройства), поддерживает подмену содержимого страниц (веб-инжекты).
Ещё одна функция нового трояна – он ищет подключенные к устройству смарт-карт ридеры (устройства для чтения смарт-карт). Такие устройства обычно используют в организациях для защищённой работы с конфиденциальными данными, проверки цифровой подписи при подписании юридически значимых документов – включая платёжные поручения.
Подобное поведение ВПО – признак его вероятного использования в атаках на системы дистанционного банковского обслуживания (ДБО). Проверка наличия криптографического токена, вставленного в USB-разъем компьютера, особенно важна для злоумышленников, так как позволяет пройти аутентификацию в кабинете ДБО юридического лица и получить возможность провести финальный этап атаки.
Кроме того, троян ищет установленные на устройстве антивирусы или EDR-агенты (программные модули, которые собирают телеметрию и анализируют её для выявления сложных и неизвестных угроз).
Заражение происходит, когда при открытии архива под видом счёта, акта или другого документа пользователь запускает скрытый внутри файл. После этого злоумышленники могут получить доступ к системам дистанционного банковского обслуживания, через которые бухгалтеры совершают платёжные операции, и вывести деньги со счёта компании.
По оценкам департамента противодействия финансовому мошенничеству (Fraud Protection) компании F6, за месяц с 13 августа по 12 сентября 2026 года группировка Hive0117 совершила около 100 успешных атак на российские компании. Средняя сумма ущерба от этих атак составила 10-12 млн рублей – больше, чем во время первой волны атак в начале года. Подробнее о новом банковском трояне, индикаторы компрометации – в блоге на сайте F6.
Рекомендации F6 для бухгалтеров и специалистов финансовых подразделений
Не открывайте без проверки файлы, полученные от неизвестных отправителей.
При подозрении на наличие вредоносной активности на ПК изолируйте устройство от внешней сети.
Рекомендации F6 для подразделений информационной безопасности банков
Усилить защиту клиентов средствами сессионного и транзакционного антифрод-решения.
Систематически напоминать клиентам об опасности фишинговых рассылок и загрузке файлов с недоверенных веб-ресурсов.
Рекомендовать клиентам использовать изолированные рабочие станции для систем ДБО с ограниченным доступом в интернет.
Рекомендовать клиентам не оставлять средство подписи (токен) в компьютере.
Реализовать на устройстве пользователя дополнительные меры защиты по выявлению сторонних вредоносных приложений.
При реализации двухфакторной авторизации через СМС учитывать установленные приложения для чтения СМС на устройстве пользователя.
В рамках пользовательских сессий в веб-канале учитывать данные, косвенно свидетельствующие об удаленном подключении к устройству пользователя.