Что произошло

Эксперты Positive Technologies вскрыли масштабную кампанию вредоносных почтовых рассылок, нацеленную на российские компании и частных предпринимателей. По данным подразделения киберразведки PT ESC TI, злоумышленник атаковал не менее 1256 организаций и ИП. Среди целей оказались банки, энергетические компании и государственные учреждения. Атакующего, стоящего за рассылками, исследователи обозначили псевдонимом VecnaHopper: он распространяет программу BoryptGrab, предназначенную для кражи паролей, файлов и других конфиденциальных сведений.

Ключевая особенность кампании — способ доставки. Преступник не подделывает адреса отправителей, а рассылает письма с реальных почтовых ящиков российских пользователей, которые ранее попали под его контроль. Сообщение с вредоносным вложением приходит от знакомого поставщика, партнёра или коллеги, и доверие к «своему» адресу усыпляет бдительность получателей.

Почему это актуально

Электронная почта остаётся главным вектором первоначального заражения корпоративной инфраструктуры, а атаки через скомпрометированные учётные записи (так называемая цепочка доверия «контрагент — контрагент») — один из самых трудноотличимых от легитимной переписки сценариев. Статистика PT показывает широту охвата: 44% выявленных целей — индивидуальные предприниматели, 14% — банки и финансовые организации, по 11% пришлось на предприятия топливно-энергетического комплекса и органы власти. Выраженной отраслевой специализации у атакующего нет: он бьёт по контактам, которые находит в переписке уже взломанных жертв.

Показательна и эволюция угрозы. BoryptGrab известен специалистам по кибербезопасности уже несколько месяцев: в марте 2026 года стилер распространялся через поддельные репозитории GitHub и фальшивые страницы загрузки популярных программ, игровых читов и утилит. Теперь оператор перешёл к более опасному каналу — взломанной деловой почте, где не требуется ни подделки отправителя, ни «заманухи» в виде бесплатного софта.

Как это работает

  • Взлом настоящего ящика. Злоумышленник получает контроль над почтой предпринимателя или сотрудника компании и продолжает рассылку от его имени. В одном из эпизодов эксперты проследили характерную цепочку: сначала вредоносное вложение ушло на корпоративный адрес, а спустя восемь дней аналогичные письма начали рассылаться уже с захваченного ящика.
  • Маскировка под деловую переписку. Получателям предлагали ознакомиться с заказами поставщикам, служебными запросами, уведомлениями и приказами. Иногда в копию одного письма включали более ста адресатов — адреса для новых волн преступник, по оценке PT, извлекал из переписки предыдущих жертв.
  • Архив с паролем. К письмам прикладывали защищённые паролем архивы, что дополнительно затрудняет автоматическую проверку вложений средствами почтовой защиты.
  • DLL Sideloading. Внутри архива — легитимный отладчик Visual Studio и вредоносная DLL-библиотека. При запуске «настоящая» программа загружает подставленную библиотеку и выполняет вредоносный код: доверенное приложение используется как ширма.
  • Сбор данных. BoryptGrab извлекает сохранённые в браузерах логины, пароли и сведения об авторизованных сеансах, похищает данные из Telegram, Discord, Steam и криптовалютных кошельков, копирует файлы с рабочего стола и из папки «Документы», делает снимки экрана и отправляет всё на сервер преступника.
  • Одна кампания вместо разрозненных эпизодов. Анализ связей между образцами, адресами и серверами через платформу киберразведки PT Fusion позволил объединить инциденты в единую картину и восстановить как минимум пять массовых волн рассылок. Всего обнаружено более 700 вредоносных образцов, связанных с инфраструктурой VecnaHopper.

Почему украденная сессия опаснее украденного пароля — простыми словами

Современные сайты и почтовые сервисы после успешного входа сохраняют на устройстве специальный идентификатор сеанса (сессию), чтобы пользователю не приходилось каждый раз вводить пароль. Если стилер похищает действующий идентификатор, преступник может «войти» в аккаунт жертвы без логина и пароля — а в ряде случаев и в обход двухфакторной аутентификации, ведь проверка уже была пройдена на самом компьютере владельца. Именно поэтому кража браузерных сессий считается сегодня одной из наиболее опасных функций вредоносных программ: классические советы «смените пароль» против неё уже недостаточны.

Руководитель направления Threat Intelligence и сервиса PT Fusion в Positive Technologies Денис Кувшинов рекомендует проверять неожиданные вложения, даже если письмо пришло от знакомого контрагента: безопаснее связаться с отправителем по другому каналу и убедиться, что документ действительно направляли.

Итог: Кампания BoryptGrab наглядно показывает, что граница доверия в деловой переписке больше не совпадает с границей организации: атакованный контрагент автоматически превращается в оружие против всей своей адресной книги. Для заказчиков это означает, что почтовой защиты и обучения сотрудников уже недостаточно — нужны киберразведка, корреляция инцидентов и контроль скомпрометированных учётных записей, то есть платформенные решения класса Threat Intelligence и SOC. Продукты Positive Technologies — MaxPatrol, PT ISIM, PT Fusion и сервисы киберразведки — доступны у дистрибьютора MONT.

Читайте также: