Операция Buhtrap нацелена на российские банки

Операция Buhtrap нацелена на российские банки

Эксперты международной антивирусной компании ESET раскрыли масштабную кибератаку «Операция Buhtrap», нацеленную на российский бизнес. «Операция Buhtrap» длилась как минимум год. Приоритетной целью атаки стали российские банки. Согласно статистике, полученной с помощью системы ESET LiveGrid, большинство заражений пришлось на пользователей из России (88%).

Атакующие устанавливали вредоносное ПО на компьютеры, использующие в Windows русский язык по умолчанию. Источником заражения был документ Word с эксплойтом CVE-2012-0158, который рассылался в приложении к фишинговому письму. Один из обнаруженных образцов вредоносного документа имитировал счет за оказание услуг (файл под названием «Счет № 522375-ФЛОРЛ-14-115.doc»), второй – контракт мобильного оператора «Мегафон» («kontrakt87.doc»).

Если пользователь открывает вредоносный документ на уязвимой системе, на ПК устанавливается NSIS-загрузчик. Программа проверяет некоторые параметры Windows, после чего скачивает с удаленного сервера архив 7z с вредоносными модулями. В некоторых случаях, чтобы обойти автоматические системы анализа и виртуальные машины, загрузчик устанавливает на ПК безвредный архив с Windows Live Toolbar.

Вредоносные модули представляют собой самораспаковывающиеся архивы формата 7z, защищенные паролем. Многие модули подписаны действительными цифровыми сертификатами, которые были отозваны после обращения специалистов ESET. Эксперты компании обнаружили четыре сертификата, выданные зарегистрированным в Москве юридическим лицам.

Чтобы установить контроль над зараженным ПК, в «Операции Buhtrap» используются программы с исполняемыми файлами mimi.exe и xtm.exe. Они позволяют получить или восстановить пароль от Windows, создать новый аккаунт в операционной системе, включить сервис RDP.

Далее с помощью исполняемого файла impack.exe осуществляется установка бэкдора LiteManage, который позволяет атакующим удаленно управлять системой.

После этого на ПК загружается банковское шпионское ПО с названием исполняемого файла pn_pack.exe. Программа специализируется на краже данных и взаимодействии с удаленным командным сервером. Ее запуск выполняется с использованием известного продукта Yandex Punto. Шпионское ПО может отслеживать и передавать на удаленный сервер нажатие клавиш (кейлоггер) и содержимое буфера обмена, а также перечислять смарт-карты, присутствующие в системе.

Эксперты ESET отметили сходство данной атаки с крупным инцидентом с применением банковского трояна Anunak/Carbanak. Злоумышленники, которые стоят за «Операцией Buhtrap», используют методы, характерные для таргетированных атак, не связанных с финансовым мошенничеством.

«Схема заражения выглядит следующим образом, – объясняет Жан-Йен Бутен (Jean-Ian Boutin), вирусный аналитик ESET. – Злоумышленники компрометируют один ПК компании, отправив сотруднику фишинговое сообщение с эксплойтом. Как только вредоносная программа будет установлена, атакующие воспользуются программными инструментами, чтобы расширить свои полномочия в системе и выполнять другие задачи: компрометировать остальные компьютеры, шпионить за пользователем и отслеживать его банковские транзакции». 

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

Среднестатистический хакер — не юнец, а его дядюшка

В Orange Cyberdefense обработали данные о 418 инцидентах, попавших в поле зрения правоохранительных органов в период с 2021 года по середину 2025-го, и обнаружили, что 37% идентифицированных авторов атак — мужчины 35-44 лет.

Еще 30% выявленных преступников — представители возрастной группы от 25 до 34 лет. Доля тинейджеров и 45+ в этой выборке оказалась одинаковой — по 5%.

Первая в своем роде статистика приведена в особом разделе отчета о киберугрозах Security Navigator 2026 французской ИБ-компании. Полученные результаты опровергают бытующее представление о том, что хакерство в основном прерогатива юнцов вроде Scattered Lapsus$ Hunters, часто попадающих в заголовки профильных СМИ.

Поведение возрастных групп киберкриминала тоже разнится. Молодежь (от 18 до 24 лет), движимая любопытством и жаждой славы, действует импульсивно и по ситуации, стремясь заявить о себе громкими взломами, DDoS-атаками и мелкими кражами. Осознание, что из таких «подвигов» можно извлечь материальную выгоду, приходит к ним позднее.

Гораздо больший урон обитателям всемирной паутины наносят преступники, достигшие зрелого возраста (35-44). Они действуют прицельно, обстоятельно и воспринимают свою противозаконную деятельность как способ заработка, занимаясь в основном вымогательством, разработкой зловредов, кибершпионажем и отмыванием денег.

Примечательно, что 90% выявленных авторов атак — мужчины. Национальный состав киберпреступников по выборке оказался следующим:

  • россияне — 23%;
  • американцы — 11%;
  • китайцы — 11%;
  • украинцы — 9%;
  • граждане КНДР — 5%.

Стоит отметить, что почти половина набора данных, по которому работали эксперты, — это публикации о разгромных акциях с участием США. Имя американского Минюста было упомянуто в 16% обнародованных инцидентов, ФБР — в 12%.

Правоохрана Германии засветилась в 7% зафиксированных кейсов, Европол — в 5%, британские спецслужбы — в 3%.

Новый отчет французских экспертов о ландшафте киберугроз составлен (PDF) по результатам анализа 139 тыс. ИБ-инцидентов, внесенных в банк данных Orange Threat Intelligence и базы сторонних OSINT в период с октября 2024 года по сентябрь 2025-го.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru