Хакеры Hive0117 взламывают ПК бухгалтеров и крадут у российских компаний до 14 млн рублей
В России выявили новую схему, с помощью которой финансово мотивированные хакеры Hive0117 атакуют бухгалтеров и крадут через их компьютеры деньги со счетов организаций. Пик активности злоумышленников пришелся на февраль-март 2026 года.Об этом «Газете.Ru» рассказали в пресс-службе компании F6, которая и выявила новую вредоносную кампанию.
Злоумышленники рассылали письма с зараженными RAR-архивами якобы от лица логистических операторов, госведомств и разработчиков сайтов. Чтобы обойти фильтры почтовых сервисов и антивирусов, вредоносные файлы, замаскированные под счета на оплату, акты сверок и накладные, были защищены паролем, который указывался прямо в тексте письма. В результате целевых атак преступники заражали компьютеры специалистов финансовых департаментов трояном удаленного доступа DarkWatchman RAT. Эта программа позволяла хакерам скрытно управлять компьютером, шпионить, загружать другие вирусы и распространяться по корпоративной сети.
Продвинутые антифрод-решения, которые банки используют для защиты клиентов – физических лиц позволяют за считанные доли секунды проанализировать каждую платежную операцию по множеству параметров и показателей, начиная с устройства пользователя и установленных на нем приложений до контекста транзакции и рисковых признаков. Это позволяет заблокировать подозрительные переводы.
Для вывода денег со счетов организаций киберпреступники использовали новую уловку. Используя удаленный доступ к системам дистанционного банковского обслуживания через взломанные компьютеры бухгалтеров, они оформляли платежи для зачисления на банковские счета по реестру. Формально это выглядело как перечисление зарплаты, однако в реестре были указаны банковские счета дропов. Если такие платёжные операции не проходили через антифрод-системы, злоумышленники получали возможность вывести со счетов компаний значительные суммы.
По оценкам аналитиков департамента противодействия финансовому мошенничеству F6, средняя сумма ущерба от одной успешной атаки в конце зимы и начале весны составила около 3 миллионов рублей, а максимальный размер похищенного превысил 14 миллионов рублей.
Группировка Hive0117, также известная как Watch Wolf, активна с февраля 2022 года. В число ее приоритетных целей входят организации в сфере промышленности, ретейла, энергетики, финансов, телекома, транспорта и медиа на территории России, а также компании в Беларуси и Казахстане.