Письмо от знакомого поставщика или делового партнёра может оказаться ловушкой, даже если отправлено с настоящего адреса. В России обнаружили масштабную кампанию, участники которой взламывали электронную почту предпринимателей и использовали захваченные ящики для распространения вируса среди новых получателей. Специалисты Positive Technologies выявили не менее 1256 организаций и индивидуальных предпринимателей, которым злоумышленник отправлял вредоносные письма. Среди целей оказались банки, энергетические компании и государственные учреждения.
За рассылками стоит атакующий, получивший от исследователей обозначение VecnaHopper. Преступник распространял программу BoryptGrab, предназначенную для кражи паролей, файлов и других конфиденциальных сведений. Особую опасность представлял способ доставки: сообщения приходили от реальных российских пользователей, чьи почтовые ящики ранее попали под контроль злоумышленника.
Эксперты подразделения киберразведки PT ESC TI изучили вредоносные файлы, почтовые адреса и серверы, задействованные в атаках. Анализ связей между найденными образцами через платформу PT Fusion помог объединить разрозненные эпизоды в одну кампанию и восстановить как минимум пять массовых волн рассылок.
В одном из случаев исследователи проследили особенно показательную последовательность событий. Сначала преступник отправил вредоносное вложение на корпоративный адрес, а спустя восемь дней начал рассылать аналогичные письма уже с захваченного ящика. Получив доступ к чужой почте, атакующий мог продолжать распространение BoryptGrab от имени нового владельца скомпрометированной учётной записи.
Чаще остальных злоумышленник выбирал индивидуальных предпринимателей. На долю ИП пришлось 44% выявленных целей, ещё 14% составили банки и финансовые организации. Предприятия топливно-энергетического комплекса и органы власти получили по 11%. Выраженной отраслевой специализации исследователи не обнаружили. Вероятнее всего, преступник ориентировался на контакты, доступные во взломанных почтовых ящиках.
Вредоносные сообщения маскировались под обычную деловую переписку. Получателям предлагали ознакомиться с заказами поставщикам, служебными запросами, уведомлениями и приказами. Иногда злоумышленник включал в копию одного письма более ста адресатов. По предположению экспертов, адреса для новых рассылок преступник мог извлекать из переписки предыдущих жертв.
Главная опасность заключалась в доверии к знакомому отправителю. Сотрудник компании мог получить документ от постоянного контрагента, увидеть привычный адрес и открыть вложение без дополнительных проверок. При взломе настоящего почтового ящика преступнику даже не требовалось подделывать адрес отправителя.
К сообщениям прикладывали защищённые паролем архивы. Внутри находились легитимный отладчик Visual Studio и вредоносная DLL-библиотека. Когда получатель запускал программу, отладчик загружал подставленную библиотеку, запуская вредоносный код. Приём известен как DLL Sideloading и позволяет использовать доверенное приложение для выполнения посторонних команд. Пароль на архиве дополнительно мог затруднять автоматическую проверку вложения средствами почтовой защиты.
После заражения BoryptGrab собирал сохранённые в браузерах логины, пароли и сведения об авторизованных сеансах. Стилер также похищал информацию из Telegram, Discord, Steam и криптовалютных кошельков, копировал файлы с рабочего стола и из папки «Документы», делал снимки экрана и отправлял собранные сведения на сервер преступника. Всего специалисты обнаружили более 700 вредоносных образцов, связанных с инфраструктурой VecnaHopper.
BoryptGrab известен специалистам по кибербезопасности уже несколько месяцев. В марте 2026 года исследователи обнаружили распространение стилера через поддельные репозитории GitHub и фальшивые страницы загрузки программ. Преступники заманивали пользователей бесплатными версиями популярных приложений, игровыми читами и различными утилитами. Заражение начиналось со скачивания архива, внутри которого скрывались вредоносные компоненты.
В ранее изученных сборках BoryptGrab специалисты также находили механизмы обхода защиты браузеров и инструменты, затрудняющие обнаружение вредоносной программы. Отдельные цепочки заражения предусматривали установку дополнительных компонентов для удалённого управления компьютером. Нынешняя кампания отличается прежде всего способом распространения: вместо поддельных страниц загрузки преступник использует взломанную деловую почту. Принадлежность прежних операций и рассылок VecnaHopper одному оператору пока не установлена.
Кража браузерных сеансов представляет отдельную угрозу. После успешной авторизации сайт сохраняет специальный идентификатор, позволяющий пользователю оставаться в аккаунте без повторного ввода пароля. Если вредоносная программа похитит действующий идентификатор, преступник в некоторых случаях сможет воспользоваться уже открытым доступом. Поэтому кража сессии иногда позволяет обойти повторную проверку пароля и двухфакторную аутентификацию.
Руководитель направления Threat Intelligence и сервиса PT Fusion в Positive Technologies Денис Кувшинов рекомендует проверять неожиданные вложения даже при получении писем от знакомых контрагентов. Безопаснее связаться с отправителем по другому каналу и уточнить, действительно ли сотрудник или партнёр направлял документ.
При обнаружении заражения специалисты советуют удалить вредоносную программу, сменить скомпрометированные пароли с доверенного устройства и принудительно завершить активные сеансы в почте, мессенджерах и других сервисах. Корпоративным пользователям необходимо привлечь специалистов информационной безопасности для проверки компьютера и затронутых учётных записей. Дополнительно следует изучить отправленные сообщения: если преступник успел воспользоваться захваченной почтой, получателей опасных писем потребуется предупредить.
Исследование подтверждает масштаб рассылок, но не устанавливает точного количества успешно заражённых компьютеров и объёма похищенной информации. Для организаций основной риск заключается в возможности продолжения атак через доверенные деловые контакты: компрометация одного почтового ящика способна поставить под угрозу переписку с десятками других компаний.