‼️ Hive0117 стала атаковать не только Россию, но и Беларусь, Казахстан и Узбекистан. В среднем ущерб компаний уже составляет 10 млн руб.

Специалисты F6 Fraud Protection зафиксировали новую волну атак группы Hive0117, нацеленную на заражение устройств бухгалтеров юрлиц.

▪️ Злоумышленники распространяют ВПО DarkWatchman через фишинговую рассылку. О самых последних обновлениях данного ВПО рассказывали здесь.

▪️ Далее на устройство выгружается модуль кейлоггера, задача которого — перехват чувствительных данных, введенных на клавиатуре, данных буфера обмена, а также проверка наличия криптографического токена, вставленного в USB-разъем компьютера. Этот момент особенно важен для злоумышленников: наличие токена обязательно для аутентификации в кабинете дистанционного банковского обслуживания (ДБО).

▪️ Получив доступ к системам ДБО, злоумышленники выводят деньги на счета дропов, в том числе под видом перечисления зарплаты. 

С начала 2026 года Hive0117 совершила 400 успешных атак на российские компании. Схему масштабировали на другие страны, а средняя сумма ущерба организаций выросла до 10 млн руб.

Технические детали атаки, индикаторы компрометации и примеры исполнения всех процессов — в новом блоге F6.