Hive0117 против бухгалтеров: новая тактика краж через зарплатные реестры

Компания F6, российский разработчик технологий для борьбы с киберугрозами, проанализировала атаки группировки Hive0117 на финансовые подразделения компаний в России, Беларуси, Казахстане и Узбекистане. С начала 2026 года злоумышленники атаковали более 3000 организаций. Они с помощью вредоносных писем заражали компьютеры бухгалтеров и выводили деньги на счета дропов, в том числе под видом зарплаты. Около 400 атак на российские компании оказались успешными, средняя сумма ущерба выросла до 10 млн рублей.

Группировка Hive0117 действует с конца 2021 года, использует бесфайловое ПО DarkWatchman и маскируется под реальные организации. В январе 2026 года началась новая волна рассылок на бухгалтеров. В России адресатами стали свыше 3000 компаний, а также организации в Беларуси (не менее 6), Казахстане (3) и Узбекистане (1). Пик пришелся на февраль-март, затем число писем сократилось в десятки раз. Рассылки клиентам F6 были заблокированы системой F6 Business Email Protection.

Злоумышленники отправляли письма с темами деловой переписки («Счет на оплату», «Накладная» и другие), а вредоносный файл прятали в EXE или RAR-архивах. При открытии архива пользователь запускал троян DarkWatchman. Затем устанавливался кейлоггер для перехвата данных и проверки криптотокена в USB. После вставки токена преступники получали удаленный доступ к экрану, паролям и сессиям бухгалтера.

В 2026 году группа применила новую тактику: через взломанные компьютеры оформляла платежи по реестру под видом зарплаты, но с указанием счетов дропов. Если антифрод-системы банка не срабатывали, средства выводились. По данным F6, около 400 атак завершились успехом, а средний ущерб вырос с 3 до 10 млн рублей. Руководитель департамента Fraud Protection F6 Дмитрий Ермаков отметил, что эволюция угроз требует блокировки мошенников на ранних этапах, а вендоры должны предоставлять банкам решения против всех типов атак.

Ранее F6 получила евразийский патент на технологию, ускоряющую выявление мошеннических транзакций без риска раскрытия персональных данных. Новая разработка предназначена для платформы F6 Fraud Protection, которая уже защищает 120 млн клиентов в России и половину пользователей банковских услуг в Республике Беларусь.