BoryptGrab: рассылки с взломанных ящиков ИП, 1256 организаций

5 ноября 2026 года Positive Technologies рассказала о кампании группы VecnaHopper: вредоносные письма с похитителем данных BoryptGrab получили не менее 1256 российских организаций и индивидуальных предпринимателей. Письма шли с реальных, ранее взломанных ящиков, поэтому выглядели как обычная деловая переписка. Главное правило на сегодня: вложение в запароленном архиве, даже от знакомого контрагента, проверяйте отдельным звонком или сообщением.

Как устроена кампания

Сначала злоумышленник получал доступ к почте российских пользователей, многие из них были ИП. Потом рассылал письма уже от их имени. В одном случае ящик получил вредоносное письмо, а через восемь дней с него ушла новая рассылка. Письма имитировали заказ поставщику, запрос, уведомление или инструкцию, у некоторых получателей в копии было больше 100 адресов, вероятно, из переписки жертв.

Вложение представляло собой архив с паролем. Внутри лежал настоящий отладчик Visual Studio и вредоносная библиотека, которую он загружает при запуске. Исследователи выделили не менее пяти массовых волн и больше 700 образцов, связанных с инфраструктурой группы.

Чёткой отраслевой цели нет: круг получателей, по оценке исследователей, определяли контакты из взломанных ящиков. Сколько компьютеров заражено и сколько данных украдено, отчёт не уточняет.

Что крадёт BoryptGrab

• логины, пароли и данные сеансов из браузеров;
• данные Telegram, Discord, Steam и криптокошельков;
• файлы с рабочего стола и из папки «Документы»;
• снимки экрана.

Украденные идентификаторы сеанса опасны тем, что позволяют войти в сервис без пароля и иногда обходят двухфакторную защиту.

Что сделать сегодня

1. Договоритесь с командой: запароленные архивы и исполняемые файлы из почты не открываем, пока отправитель не подтвердил письмо другим каналом.
2. Если файл уже запускали, отключите компьютер от сети и покажите его специалисту по безопасности.
3. Смените пароли с чистого устройства и завершите все активные сеансы в почте, мессенджерах и сервисах.
4. Просмотрите папку «Отправленные» на предмет писем, которые вы не писали, и предупредите получателей.
5. Включите двухфакторную защиту и проверьте правила пересылки в почте: взломщики часто добавляют скрытую пересылку.

Что может сделать владелец сайта

Корпоративная почта на домене должна иметь настроенные SPF, DKIM и DMARC, иначе подделать письма от вашего имени проще. Проверить домен можно бесплатным инструментом. Организационные меры и резервные копии собраны в чек-листе защиты от шифровальщиков, а при подозрении на взлом поможет защита сайта и почты. Настройку почты на домене мы делаем в разделе поддержки почты.