Buhtrap — название вредоносного ПО и одноименной преступной группы, действующей с 2014 г. В 2016 году исходные коды Buhtrap были опубликованы в открытом доступе, после чего его стали использовать разные финансово-мотивированные атакующие. В последние годы злоумышленники рассылают фишинговые письма, а также используют взломанные или фейковые бухгалтерские веб-ресурсы, чтобы заразить системы российских организаций вредоносной программой Buhtrap.
▪️ После атак через сервис ЭДО (электронный документооборот) в III квартале 2025 года злоумышленники переключились на создание инфраструктуры для распространения ВПО через привычную схему с сайтами-приманками.
▪️ Пользователь переходит на сайт-приманку через поисковую выдачу. Ресурс предлагает скачать бланки-образцы для формирования отчетов о финансах. После нажатия на бланк скачивается архив с вредоносной нагрузкой.
🔍 Результат детонации ВПО — на F6 Malware Detonation Platform.
Такой подход — через сайты-приманки — сильно увеличивает масштаб заражения. Ведь бухгалтерия и соответствующая отчетность есть везде, поэтому эта угроза актуальна для любых отраслей любого размера.
Отличительные особенности атак через ЭДО — разобрали в блоге на Habr.