Хакеры Hive0117 атаковали бухгалтеров в РФ новым трояном FMVT RAT

Хакерская группировка Hive0117, специализирующаяся на финансовых хищениях, вернулась к активной деятельности после нескольких месяцев молчания. Новая волна кибератак началась в августе и затронула более ста российских организаций из самых разных секторов экономики, включая ретейл, строительство, логистику, медицину и энергетику. Основными мишенями злоумышленников традиционно становятся сотрудники финансовых подразделений и бухгалтеры, работающие с корпоративными счетами.

Главным инструментом в арсенале злоумышленников стал новый троян FMVT RAT, пришедший на смену старым инструментам. Только за первый месяц наблюдений эксперты зафиксировали более ста успешных заражений, при этом средний финансовый ущерб для одной пострадавшей компании составил от десяти до двенадцати миллионов рублей. Разработчики вредоноса продолжают его совершенствовать, оперативно выпуская обновления безопасности и новые версии софта.

Методика проникновения в инфраструктуру осталась привычной для этой группировки. Хакеры рассылают фишинговые электронные письма с поддельными темами вроде «Счет на оплату» или «Акт сверки», к которым прикреплены вредоносные архивы с исполняемыми файлами. Иногда для придания достоверности злоумышленники используют взломанные почтовые ящики реальных организаций, а архивы дополнительно защищают паролями, чтобы обойти системы автоматической проверки.

Сам троян FMVT RAT заточен под кражу денег через системы дистанционного банковского обслуживания. Он умеет собирать системную информацию, перехватывать буфер обмена и управлять браузерами на базе Chromium через протокол DevTools, внедряя скрипты прямо на страницы банков. Отдельная функция малвари ищет подключенные смарт-карты и криптографические токены, которые бухгалтеры используют для подписания платежных поручений.

Ранее эта же группировка была известна по использованию бесфайлового вредоноса DarkWatchman и масштабным рассылкам по тысячам адресов. В текущих атаках исследователи также зафиксировали догрузку дополнительного софта для скрытого управления виртуальным рабочим столом. Связь с Hive0117 подтверждается анализом инфраструктуры, особенностями генерации доменов и выбором хостинг-провайдеров.