Buhtrap на связи: бухгалтеров атакуют через новый сайт-приманку

В сентябре 2026 г. специалисты Центра кибербезопасности компании F6 выявили новый эпизод распространения вредоносного ПО Buhtrap RAT. Схема повторяет уже известную – ВПО распространяют при помощи сайтов-приманок, ориентированных на бухгалтеров и юристов. Злоумышленники продвигают такие сайты через рекламу в поисковой выдаче. Об этом CNews сообщили представители F6.

Buhtrap — название вредоносного ПО и одноименной преступной группы, действующей с 2014 г. В 2016 г. исходные коды Buhtrap были опубликованы в открытом доступе, после чего его стали использовать разные финансово мотивированные атакующие. В последние годы злоумышленники рассылают фишинговые письма, а также используют взломанные или поддельные бухгалтерские веб-ресурсы, через которые заражают системы российских организаций.

Новый сайт-приманка представляет собой копию легитимного ресурса «Главная книга бухгалтера». Механизм доставки практически полностью повторяет кампанию, которую специалисты F6 описывали ранее.

Когда жертва попадает на сайт-приманку через поисковую выдачу, JS-код перехватывает попытку скачать документ и вместо него формирует ссылку на ZIP-архив с вредоносной нагрузкой. Имя архива строится на основе текущей даты и времени в формате YYYY_MM_DD_HH_MM_SS.zip.

После нажатия на кнопку скачивания документа происходит формирование ссылки на загрузку по шаблону: hxxps://files[.]buhotchet[.]com/uploads/yyyy-mm-dd-hh-mm-ss.zip. За это отвечает js-скрипт glavaudit[.]org/js/handle.js, основной функционал которого схож с js-скриптом event.js в ранее описанной атаке.

Злоумышленники не стали существенно менять используемую схему. Основные изменения затронули сетевую инфраструктуру. Используемый Buhtrap RAT и последующая цепочка заражения существенных изменений по сравнению с ранее исследованной кампанией не претерпели.