Дайджест социальной инженерии за 2–4 сентября 2026 года: поддельный бухгалтерский сайт с Buhtrap, атаки через мнимую поддержку в Teams и финансовые письма с невидимыми символами. В выпуск также вошли уточнения о краже данных McKesson, обнаруженной в конце августа.
Россия: злоумышленники распространяли Buhtrap через бухгалтерский сайт
Злоумышленники разместили в поисковой выдаче рекламу сайта, который копировал ресурс «Главная книга бухгалтера». Посетителю предлагали скачать рабочий документ, но вместо него выдавали архив с Buhtrap RAT, программой для удалённого управления заражённым компьютером. О кампании F6 сообщили CNews и SecPost 3 сентября 2026 года. [1, 2]
Атака была рассчитана на бухгалтеров и сотрудников юридических подразделений российских организаций. Названия организаций и регионы F6 не раскрыла. В опубликованных материалах описана доставка вредоносной программы, но нет числа успешных заражений, подтверждённых жертв или объёма похищенных данных. Дата публикации сообщения также не устанавливает дату начала кампании.
Посетитель попадал на подделку из поиска и нажимал кнопку загрузки документа. JavaScript перехватывал это действие и формировал ссылку на ZIP с временным именем. Архив содержал вредоносную нагрузку Buhtrap. Дальнейшую последовательность заражения в сообщении подробно не разобрали: по данным F6, она существенно не изменилась по сравнению с ранее изученной кампанией.
Приманка опиралась на рабочую задачу: найти бухгалтерский документ или программное обеспечение. Знакомое оформление и место в поисковой выдаче помогали подделке выглядеть убедительно. В раскрытой схеме нет подтверждённого обхода многофакторной аутентификации, при которой вход требует дополнительного фактора помимо пароля. Пользователя подводили к загрузке вредоносного файла.
Название Buhtrap само по себе не позволяет установить преступную группу. Исходный код этой программы ранее публиковался, поэтому её могли использовать разные операторы. Сообщение F6 подтверждает наблюдаемую исследователями цепочку доставки; принадлежность всей кампании конкретной группе из этих данных не следует. Ограничение атрибуции также отмечается в профиле CrowdStrike. [3]
Для проверки своей инфраструктуры полезны журналы DNS, прокси и средств защиты рабочих станций. В них стоит искать переходы на похожие бухгалтерские домены, загрузки ZIP с сайтов документов и открытие архивов после перехода из браузера. В сообщении фигурируют files[.]buhotchet[.]com и glavaudit[.]org. Домены здесь записаны с разрывами, чтобы исключить случайный переход.
Новые домены, похожие на известные профессиональные ресурсы, требуют отдельной проверки. Подозрительный архив лучше исследовать в изолированной среде, не открывая его на рабочем компьютере. Проверять следует и рекламные, и обычные результаты поиска: само присутствие ссылки в выдаче не подтверждает подлинность сайта.
США: McKesson подтвердила кражу данных, но не заявленную цепочку через звонки
Американская McKesson Corporation, работающая в фармацевтической дистрибуции и медицинских технологиях, обнаружила инцидент 25 августа 2026 года. Компания раскрыла его в форме 8-K для Комиссии по ценным бумагам и биржам США 28 августа, а 29 августа уточнила затронутые направления бизнеса. Публикации с этими уточнениями выходили с 31 августа по 2 сентября. [4, 5]
McKesson подтвердила несанкционированный доступ к отдельным сторонним приложениям и вывоз данных, связанных с частью клиентов подразделений Oncology & Multispecialty и Medical-Surgical. Компания сообщила, что основные операции и поставки продолжались, и выразила разумную уверенность в отсутствии продолжающейся несанкционированной активности. Это её оценка на момент заявления, а не окончательный результат расследования.
Группировка ShinyHunters заявила, что применила голосовой фишинг против двух сотрудников, получила доступ через систему единого входа Okta и затем извлекла данные из Salesforce и Snowflake. Единый вход позволяет использовать одну систему идентификации для нескольких приложений. В такой конфигурации потеря доступа к учётной записи может затронуть сразу несколько облачных сервисов.
Однако McKesson не подтвердила именно эту последовательность. Healthcare Dive отдельно отметило отсутствие подтверждения заявленного голосового фишинга со стороны компании. Конкретная легенда звонка, выдача себя за техническую поддержку, получение кода или сброс многофакторной аутентификации также не установлены. Приписывать расследованию эти детали оснований нет. [5, 6]
ShinyHunters заявила о 284 млн записей, приблизительно 1 ТБ данных и требовании около 55 млн долларов. Эти значения остаются заявлениями группы. McKesson не раскрыла подтверждённое число затронутых людей, полный объём и состав похищенной информации. Число записей в выгрузке нельзя приравнивать к числу пациентов: один человек может фигурировать в нескольких строках или наборах данных.
Факт инцидента и кражи данных подтверждён заявлениями компании. Участие ShinyHunters, путь через Okta, Salesforce и Snowflake и способ получения доступа требуют отдельного подтверждения. Из опубликованных фактов нельзя заключить, что атакующие обошли определённый механизм многофакторной аутентификации.
Для организаций, использующих единый вход и облачные приложения, этот случай даёт повод проверить новые способы подтверждения входа, зарегистрированные устройства, активные сессии и подключённые приложения. Отдельного внимания заслуживают разрешения OAuth, через которые стороннее приложение получает доступ к данным, и журналы Salesforce и Snowflake.
Процедуры поддержки должны исключать сброс пароля или регистрацию нового фактора только на основании одного входящего звонка. Запрос следует проверять по независимому каналу. Для сотрудников поддержки и привилегированных учётных записей предпочтительны устойчивые к фишингу способы входа. Клиентам и поставщикам McKesson необходимо сверять уведомления о затронутых приложениях и данных с собственными журналами доступа, а не делать выводы только из публичной оценки об отсутствии продолжающейся активности.
Microsoft описала, как мнимая поддержка в Teams добиралась до доменной инфраструктуры
Microsoft Security Research 2 сентября 2026 года опубликовала техническое описание атак, в которых злоумышленники выдавали себя за ИТ-поддержку через Teams. В отчёте фигурируют несколько неназванных организаций. Их страны и отрасли не раскрыты. Публикация дополнила ранее известную схему подробностями о действиях оператора после получения удалённого доступа. [7]
Контакт приходил из внешней организации в Teams. Пользователю предлагали одобрить запрос управления компьютером либо открыть Quick Assist, приложение удалённой помощи, и сообщить код подключения. Для убеждения использовали темы обновления безопасности Microsoft, настройки фильтра спама и проверки учётной записи. Другой предлог состоял в необходимости предотвратить её отключение.
После начала удалённого сеанса оператор запускал PowerShell, скачивал установочный пакет MSI из облачного хранилища и незаметно для пользователя устанавливал его через msiexec. Пакет размещал в LocalAppData переносимую версию Node.js и зашифрованную программу на JavaScript. Node.js позволяет выполнять JavaScript вне браузера; здесь подписанный легитимный компонент использовали для работы вредоносного кода.
Управляющий сервер передавал новые JavaScript-задания. Атакующие собирали сведения о системе, делали снимки экрана и исследовали Active Directory, службу, которая хранит данные об учётных записях и ресурсах домена. Для запросов применяли интерфейсы ADSI. В цепочке также наблюдался запуск DLL через rundll32.
Затем Microsoft зафиксировала соединения WinRM по порту TCP/5985 с десятками внутренних систем, включая контроллеры домена и центры сертификации. WinRM предназначен для удалённого управления Windows. Доступ к системам идентификации и выдачи сертификатов создаёт риск дальнейшего расширения прав, но сами подключения ещё не доказывают полный захват домена.
Microsoft описывает злоупотребление штатными возможностями Teams и удалённой помощи, а не уязвимость Teams. Подтверждённого обхода многофакторной аутентификации в этой цепочке нет: пользователь сам предоставлял интерактивный сеанс, после чего оператор использовал доступные инструменты. Исследователи наблюдали разведку, снимки экрана и механизмы сохранения доступа. О развёртывании шифровальщика или подтверждённой краже данных в этой публикации не сообщалось. Группа не названа.
Для обнаружения таких действий важна последовательность событий: внешний контакт в Teams, запуск Quick Assist или другого средства удалённого управления, PowerShell и MSI, затем переносимый либо переименованный Node.js и соединения WinRM. Проверять каждое из этих действий отдельно недостаточно: многие компоненты используются и администраторами.
Microsoft рекомендует ограничивать внешние контакты Teams доверенными доменами и проверять обращение поддержки по другому каналу. На рабочих станциях стоит проверить автозапуск через Run и Startup, в том числе записи с именем EdgeUpdate, а WinRM ограничить административными сценариями. Запрос на удалённое управление из обычной пользовательской сессии должен вызывать проверку.
Финансовый фишинг: невидимые символы разрывали слова для почтовых фильтров
Microsoft Security Research 3 сентября 2026 года сообщила о финансовой фишинговой кампании с невидимыми символами Unicode. Письма предлагали бизнес-финансирование и кредитные линии. Кампания была международной; конкретные страны, организации и пострадавшие компании не названы. На пике исследователи фиксировали более 2,3 млн сообщений в день. Это число писем, а не число успешных взломов. [8]
Дата отчёта не совпадает с началом рассылки. По хронологии Microsoft, резкий рост наблюдался с 9 февраля, а фаза большого объёма продолжалась около трёх месяцев, до 15 мая 2026 года. Остаточная активность сохранялась в июне. Поэтому сентябрьскую публикацию нельзя описывать как запуск новой кампании в сентябре.
Внутрь слов, например funding, отправители вставляли невидимый символ U+E0020 из диапазона Unicode Tags U+E0000–U+E007F. Человек видел обычное слово, но для фильтра, ищущего точное совпадение, последовательность букв оказывалась разорвана. Это могло мешать поиску по ключевым словам, сигнатурам и разбиению текста на элементы для моделей машинного обучения.
Техника известна как ASCII smuggling, хотя в данном случае использовались символы Unicode. Ранее её обсуждали в исследованиях внедрения скрытых инструкций в запросы к ИИ. В финансовых письмах те же свойства невидимых символов применяли к почтовой фильтрации. Это более конкретный приём, чем обычная подмена похожих букв или вставка пробела нулевой ширины.
Письма отправляли через инфраструктуру легитимной маркетинговой платформы ActiveCampaign и её домены отслеживания переходов. Кампания использовала сотни сменяемых финансовых доменов; ссылки вели к фишинговым страницам, рассчитанным на получение учётных данных. Репутация общего сервиса рассылок помогала маскировать происхождение сообщений.
Проверки SPF, DKIM и DMARC показывают, соответствует ли отправка определённым правилам домена и подписи. Они не доказывают добросовестность финансового предложения. В описанной кампании попытка обхода затрагивала анализ содержания и репутации ссылок. Сведений об обходе многофакторной аутентификации Microsoft не привела.
Невидимые символы не означают, что рассылка прошла все уровни защиты. Microsoft сообщила, что другие механизмы её защиты блокировали более 99% сообщений. Подтверждённых компрометаций корпоративных учётных записей в публикации нет. Название оператора также не раскрыто.
IRONSCALES ранее разобрала финансовое фишинговое письмо с символами того же диапазона и инфраструктурой ActiveCampaign. Этот разбор показывает использование сходного приёма в другом наблюдении, но не доказывает, что за обоими эпизодами стояла одна группа. [9]
Для почтового шлюза полезна нормализация текста до проверки ключевых слов, регулярных выражений и моделей машинного обучения. Символы U+E0000–U+E007F требуют внимания, но безусловное удаление всего диапазона может затронуть легитимные составные эмодзи флагов, использующие Unicode Tags. Исключения нужно учитывать при настройке.
Сигнал становится содержательнее, если невидимые символы встречаются вместе с финансовой лексикой и характерными доменами рассылки: em-<digits>.<brand>, acems<N>[.]com, emsd<N>[.]com, acemlnd[.]com или activehosted[.]com. Эти шаблоны предназначены для сопоставления с другими признаками. Блокировка IP-адресов общего сервиса без дополнительных оснований может затронуть обычные рассылки.
Источники
[1] CNews, 3 сентября 2026 года. Сообщение F6 о распространении Buhtrap через поддельный бухгалтерский сайт.
https://safe.cnews.ru/news/line/2026-09-03_buhtrap_na_svyazi_buhgalterov
[2] SecPost. Описание подделки «Главной книги бухгалтера» и цепочки доставки Buhtrap.
https://secpost.ru/zloumyshlenniki-atakuyut-buhgalterov-cherez-fejkovyj-sajt-glavnaya-kniga-buhgaltera
[3] CrowdStrike. Профиль Ratpak Spider/Buhtrap и ограничения атрибуции по названию программы.
https://www.crowdstrike.com/en-us/adversaries/ratpak-spider/
[4] McKesson, форма 8-K от 28 августа 2026 года. Первоначальное раскрытие инцидента, обнаруженного 25 августа.
https://www.sec.gov/Archives/edgar/data/927653/000092765326000247/mck-20260825.htm
[5] Healthcare Dive, 2 сентября 2026 года. Подтверждение кражи данных McKesson и оговорка о неподтверждённом голосовом фишинге.
https://www.healthcaredive.com/news/mckesson-confirms-data-theft-cyberattack-involving-third-party-apps/829435/
[6] Healthcare IT News. Описание инцидента McKesson и заявлений ShinyHunters.
https://www.healthcareitnews.com/news/mckesson-investigating-cybersecurity-incident-involving-exfiltration-certain-data
[7] Microsoft Security Blog, 2 сентября 2026 года. Атаки от имени ИТ-поддержки через удалённые сеансы.
https://www.microsoft.com/en-us/security/blog/2026/09/02/impersonating-it-support-threat-actors-turn-remote-session-into-enterprise-wide-access/
[8] Microsoft Security Blog, 3 сентября 2026 года. Невидимые символы Unicode в финансовом фишинге.
https://www.microsoft.com/en-us/security/blog/2026/09/03/ascii-smuggling-crosses-over-from-ai-prompt-injection-to-phishing-evasion/
[9] IRONSCALES. Разбор финансового фишингового письма с Unicode Tags и инфраструктурой ActiveCampaign.
https://ironscales.com/threat-intelligence/invisible-unicode-tag-chars-spam-filter-evasion-funding-fraud