Buhtrap на связи: бухгалтеров атакуют через новый сайт-приманку
В сентябре 2026 года специалисты Центра кибербезопасности компании F6 выявили новый эпизод распространения вредоносного ПО Buhtrap RAT. Схема повторяет уже известную — ВПО распространяют при помощи сайтов-приманок, ориентированных на бухгалтеров и юристов. Злоумышленники продвигают такие сайты через рекламу в поисковой выдаче.
Buhtrap — название вредоносного ПО и одноименной преступной группы, действующей с 2014 года. В 2016 году исходные коды Buhtrap были опубликованы в открытом доступе, после чего его стали использовать разные финансово мотивированные атакующие. В последние годы злоумышленники рассылают фишинговые письма, а также используют взломанные или фейковые бухгалтерские веб-ресурсы, через которые заражают системы российских организаций.
Новый сайт-приманка представляет собой копию легитимного ресурса «Главная книга бухгалтера». Механизм доставки практически полностью повторяет кампанию, которую специалисты F6 описывали ранее.
Когда жертва попадает на сайт-приманку через поисковую выдачу, JS-код перехватывает попытку скачать документ и вместо него формирует ссылку на ZIP-архив с вредоносной нагрузкой. Имя архива строится на основе текущей даты и времени в формате YYYY_MM_DD_HH_MM_SS .zip.
Анализ ВПО доступен на F6 Malware Detonation Platform
После нажатия на кнопку скачивания документа происходит формирование ссылки на загрузку по шаблону: hxxps://files[.]buhotchet[.]com/uploads/yyyy-mm-dd-hh-mm-ss .zip. За это отвечает js-скрипт glavaudit[.]org/js/handle .js, основной функционал которого схож с js-скриптом event .js в ранее описанной атаке.
Злоумышленники не стали существенно менять используемую схему. Основные изменения затронули сетевую инфраструктуру. Используемый Buhtrap RAT и последующая цепочка заражения существенных изменений по сравнению с ранее исследованной кампанией не претерпели.
Индикаторы компрометации
Домены
glavaudit[.]org
buhotchet[.]com
audit24[.]org
C2 Buhtrap
hxxps://vooxterra[.]org/images/user.png
hxxps://frozitica[.]org/images/bg.png
Файлы
yyyy_mm_dd_hh_mm_ss .zip
Obrazets dokumenta pod indeksom [0-9].exe
%LocalAppData%[a-z][a-z].exe
