Фишинговая атака на бухгалтеров: вирус Buhtrap маскируется под бланки документов

Фишинговая атака на бухгалтеров: что случилось в сентябре 2026 года

В начале сентября 2026 года аналитики центра кибербезопасности F6 зафиксировали новую волну атак на бухгалтеров и юристов российских компаний — очередную фишинговую атаку на бухгалтеров, в которой снова используется вредоносная программа Buhtrap RAT. Это троян удалённого доступа: с его помощью злоумышленники получают контроль над заражённым компьютером. Выбор жертв не случаен — под прицелом оказались те, кто постоянно ищет в интернете бланки, формы и образцы документов для отчётности: бухгалтеры, кадровики, специалисты по налоговому и бухгалтерскому учёту.

Группа Buhtrap и одноимённый вредонос работают на этом направлении не первый год — они известны ещё с 2014 года. В 2016 году исходный код трояна утёк в открытый доступ, и с тех пор его используют самые разные финансово мотивированные преступники. Спустя десятилетие сценарий практически не поменялся, обновилась разве что сетевая инфраструктура, которую задействуют атакующие.

Как работает схема: путь от фальшивого сайта до заражения компьютера

Суть атаки — в подмене привычного действия: бухгалтер ищет нужный документ в интернете. Он переходит по рекламной ссылке в поисковике на сайт-приманку, пытается скачать бланк или образец, но вместо файла получает вредоносный код.

1. Пользователь переходит по рекламному объявлению в поисковой системе на сайт-приманку и открывает документ, внешне похожий на искомый.
2. При нажатии на кнопку скачивания на странице срабатывает JavaScript-код, который перехватывает запрос.
3. Вместо обещанного файла подставляется ссылка на ZIP-архив с вредоносной нагрузкой.
4. Название архива собирается по шаблону «дата_время загрузки», например 2026_09_03_18_42_07.zip, а исполняемый файл внутри маскируется под что-то вроде «Образец документа под индексом _.exe».
5. После запуска файла вредонос закрепляется на компьютере и начинает обращаться к серверам злоумышленников за новыми командами.

Специалисты F6 отмечают: механика схемы не изменилась — злоумышленники по-прежнему рассчитывают на спешку и невнимательность человека, ищущего нужный бланк.

Второй способ доставки: фишинговые письма с актами сверки и счетами

Кроме поддельных сайтов, злоумышленники используют ещё один канал распространения вредоноса — электронные письма с вложениями, замаскированными под привычные рабочие документы: акт сверки взаиморасчётов, договор на подпись, счёт на оплату или претензию «от контрагента». Механизм тот же, что и с сайтами-ловушками: обрабатывая десятки писем ежедневно, бухгалтер открывает вложение на автомате, не всегда успевая проверить реального отправителя.

Подобное вложение часто оказывается архивом или файлом с двойным расширением — например, «Акт_сверки.pdf.exe» или «Счет_на_оплату.doc.js», — и расчёт строится на том, что почтовая программа отобразит только первую, безобидную часть имени. При открытии такого файла на компьютер устанавливается то же семейство вредоносного ПО, что и при скачивании с поддельного сайта: троян удалённого доступа начинает работу в фоновом режиме.

Ситуацию усложняет то, что рассылка иногда ведётся не с анонимного адреса, а со взломанного ящика настоящего партнёра, — тогда у письма есть реальная история переписки, из-за чего бдительность получателя снижается ещё сильнее. Поэтому проверять стоит не только сайты с бланками, но и любые вложения, даже те, что выглядят продолжением обычного делового диалога.

Под какие сайты маскируются мошенники

Специалисты обнаружили несколько доменов-приманок, оформленных под известные бухгалтерские ресурсы. Один из них визуально повторяет сайт «Главная книга бухгалтера» — известный источник разъяснений и форм для бухгалтеров.

Квадратные скобки в адресах использованы намеренно — так принято записывать потенциально опасные ссылки, чтобы исключить случайный переход по ним. Открывать такие сайты не стоит даже из любопытства.

Признаки фишингового письма или сайта: на что обратить внимание

Каждый признак фишинга по отдельности легко не заметить, но вместе они складываются в понятную картину. Насторожиться стоит, если совпадает сразу несколько пунктов из перечисленных ниже.

• Адрес отправителя расходится с обычным адресом контрагента хотя бы на один символ либо использует бесплатный почтовый домен вместо корпоративного.
• Тема и текст письма создают ощущение срочности («просрочка», «долг», «претензия», «подписать сегодня»), провоцируя открыть вложение не задумываясь.
• Вместо привычного документа вложение представляет собой архив (ZIP, RAR) или файл с двойным расширением либо расширением .exe, .scr, .js, .vbs.
• Ссылка на документ ведёт на домен, не совпадающий с сайтом отправителя, или представляет собой незнакомый сокращённый URL.
• Для просмотра файла или страницы предлагается включить макросы, нажать «разрешить содержимое» или установить дополнительное расширение.
• В тексте письма или на сайте видны орфографические ошибки, неестественные обороты, непривычное оформление подписи или реквизитов.
• Письмо пришло со знакомого адреса контрагента, но стиль изложения, время отправки или повод обращения не похожи на прежнюю переписку — это может говорить о взломе почтового ящика.

Если совпало два-три признака, лучше не открывать вложение и не переходить по ссылке, а позвонить отправителю по заранее известному номеру или связаться через другой канал и уточнить, отправлял ли он этот документ.

Почему Buhtrap RAT опасен для бухгалтерии и бизнеса

RAT (remote access trojan) — категория вредоносных программ, предоставляющих злоумышленнику удалённый доступ к заражённой машине. Фактически под угрозой оказывается всё, что хранится на компьютере бухгалтера: рабочие файлы, бухгалтерские программы, сохранённые в браузере пароли, переписка.

Поэтому подобная фишинговая атака на бухгалтеров затрагивает всю компанию, а не только конкретного сотрудника. Как правило, рабочий компьютер бухгалтера подключён к банк-клиенту, системам электронного документооборота, сервисам сдачи отчётности и содержит доступ к сертификатам квалифицированной электронной подписи. Захват такой машины грозит компании утечкой данных или мошенническими операциями от её имени.

История Buhtrap хорошо показывает живучесть этого вредоноса: после утечки исходного кода в 2016 году его на протяжении многих лет брали на вооружение разные преступные группировки, и волна сентября 2026 года — уже не первое его возвращение.

Группа Buhtrap начинала в 2014–2016 годах с хищения денег через системы дистанционного банковского обслуживания (ДБО): заражённый компьютер бухгалтера использовался для подмены или формирования платёжного поручения и вывода средств компании на подставные счета. После утечки исходного кода в 2016 году инструментарий разошёлся между несколькими группами, а цели атак с тех пор менялись неоднократно — от банковского мошенничества до шпионажа и продажи доступа сторонним преступникам.

Возможности троянов удалённого доступа этого класса не сводятся к доступу на рабочий стол — они перехватывают нажатия клавиш, делают скриншоты, крадут сохранённые в браузере пароли и файлы cookie, копируют данные с диска. Для заражённого компьютера бухгалтера это угроза не только банк-клиенту, но и личному кабинету в сервисах отчётности, почте, электронной подписи, а порой удалённый доступ используют ещё и для загрузки дополнительного вредоносного ПО — вплоть до программ-шифровальщиков.

Как бухгалтеру уберечься от поддельных сайтов и вредоносных архивов

Полностью исключить встречу с сайтом-приманкой в поисковой выдаче нельзя, но снизить вероятность заражения вполне по силам — достаточно придерживаться нескольких простых правил.

• Скачивайте бланки, формы и образцы документов только с проверенных источников — официальных сайтов ведомств и надёжных сервисов сдачи отчётности, а не по случайной рекламной ссылке из поиска.
• Перед скачиванием файла проверяйте адрес сайта: домены glavaudit[.]org, buhotchet[.]com и audit24[.]org уже засветились как мошеннические, но со временем могут появиться и другие похожие адреса.
• Должно насторожить, если вместо ожидаемого файла (doc, pdf, xls) сайт предлагает скачать ZIP-архив, особенно с именем из цифр и даты.
• Не открывайте .exe-файлы из архивов под видом «образца документа» — у обычных бланков такого расширения быть не может.
• Заподозрив заражение, отключите компьютер от сети, обратитесь к ИТ-специалисту или в службу безопасности, смените пароли от рабочих сервисов и почты.
• Храните сертификат КЭП на защищённом токене, а не файлом на рабочем столе, — тогда он останется недоступен вредоносу, даже если компьютер заражён.

Комплексная защита компании: обучение сотрудников и регламент проверки платежей

Один самый внимательный бухгалтер не в состоянии в одиночку защитить компанию от фишинга. Для системного снижения риска нужно выстроить несколько уровней защиты одновременно — и технических, и организационных.

• Регулярно, а не однократно при найме, напоминайте сотрудникам, работающим с почтой и документами контрагентов, о новых схемах атак — короткими рассылками.
• Проводите учебные фишинговые рассылки: ИТ-отдел или подрядчик по информационной безопасности имитирует вредоносное письмо и отмечает, кто открыл вложение или перешёл по ссылке, — так без реального риска для бизнеса можно выявить сотрудников, которым нужно дополнительное обучение.
• Введите правило: изменение реквизитов контрагента и любой срочный платёж подтверждаются по второму каналу связи — если письмо просит перевести деньги на новый счёт или срочно оплатить его, бухгалтер звонит контрагенту по номеру из прежней переписки или договора, а не из этого письма.
• Ограничьте права локального администратора на рабочих компьютерах бухгалтерии — тогда исполняемому файлу из вредоносного письма или архива будет труднее закрепиться в системе.
• Используйте антивирус и средства защиты почты, которые проверяют вложения и ссылки на уровне сервера, а не только на компьютере пользователя, — так часть вредоносных писем отсеется ещё до попадания в ящик сотрудника.
• Делайте резервные копии рабочих файлов и баз бухгалтерских программ на отдельном носителе или в облаке, не доступном напрямую с рабочей машины, — это сохранит данные, даже если основной компьютер пострадает от шифровальщика.

Пошаговый план действий, если атака уже произошла

Если сотрудник уже открыл подозрительный файл или заподозрил заражение компьютера, важны скорость и порядок действий — от них зависит масштаб возможного ущерба.

1. Немедленно отключите компьютер от локальной сети и интернета — вредонос потеряет связь с сервером злоумышленников и не сможет получать новые команды.
2. Не удаляйте файлы и не переустанавливайте систему самостоятельно до осмотра специалистом — иначе выяснить, что случилось и как проник вредонос, станет сложнее.
3. Сообщите об инциденте ИТ-специалисту или службе информационной безопасности; если штатного специалиста нет, привлеките внешнего подрядчика, который занимается реагированием на инциденты.
4. Поменяйте пароли от рабочих сервисов, почты и систем дистанционного банковского обслуживания, но делайте это с другого, заведомо незаражённого устройства, а не с той же машины.
5. При подозрении, что доступ к банк-клиенту скомпрометирован, уведомите банк и, если нужно, временно ограничьте операции по счетам компании через ДБО.
6. Учитывая, что вредонос мог разослать письма от имени сотрудника, предупредите контрагентов и коллег, чтобы они не открывали вложения из недавних писем с этого адреса.
7. Проверьте, что не пострадали сертификат электронной подписи и доступ к личным кабинетам в сервисах отчётности, — при малейших сомнениях обратитесь в удостоверяющий центр за перевыпуском сертификата.
8. Сохраните экземпляр вредоносного файла, адрес сайта-приманки и заголовки письма — эти данные понадобятся специалистам по информационной безопасности, а при необходимости — и для обращения в правоохранительные органы.

Частые вопросы

Что такое Buhtrap RAT?

Это троян удалённого доступа, известный ещё с 2014 года. После того как в 2016 году его исходный код оказался в открытом доступе, вредонос стали применять разные финансово мотивированные преступные группы, а кампания сентября 2026 года — очередная волна его распространения.

Как понять, что сайт с бланками документов — подделка?

Тревожный сигнал — переход по рекламной ссылке из поиска и предложение скачать ZIP-архив с именем из цифр и даты вместо привычного файла (doc, pdf, xls). По состоянию на сентябрь 2026 года известны поддельные домены glavaudit[.]org, buhotchet[.]com и audit24[.]org, но со временем могут появляться и другие похожие адреса.

Кого именно атакуют мошенники в этой кампании?

Основная цель — бухгалтеры и юристы российских компаний, которые регулярно ищут в интернете формы, бланки и образцы рабочих документов. Неслучайно один из сайтов-приманок оформлен под известный бухгалтерский ресурс «Главная книга бухгалтера».

Что делать, если вредоносный файл уже скачан и запущен?

Отключите компьютер от сети, обратитесь к ИТ-специалисту или в службу информационной безопасности, смените пароли от рабочих сервисов и почты. Специалисты F6 уже опубликовали технические индикаторы заражения — передайте их своим ИБ-специалистам для проверки системы.

Опасна ли такая атака для электронной подписи и отчётности компании?

Да, риск реален. Троян удалённого доступа передаёт злоумышленникам контроль над заражённой машиной, а вместе с ним — доступ ко всему, что на ней хранится, в том числе к сервисам отчётности и сертификатам КЭП. Поэтому сертификат лучше хранить на защищённом токене, а не файлом на диске.

Помогают ли учебные фишинговые рассылки снизить риск?

Да. Такие тренировки — один из немногих способов проверить, как сотрудники поведут себя при реальной атаке, а не просто рассказать им о рисках. Регулярные учебные рассылки с последующим разбором ошибок постепенно уменьшают долю сотрудников, открывающих вредоносные вложения.

Нужно ли отдельно проверять вложения в письмах от знакомых контрагентов?

Да. Если почтовый ящик контрагента взломан, письмо с вредоносным вложением может прийти с его реального адреса и даже продолжить уже существующую переписку. Признаки подмены при этом остаются прежними: неожиданный архив или файл с двойным расширением, требование срочно оплатить или подписать документ, а также стиль изложения, не похожий на предыдущие письма.

Как обезопасить бухгалтерию в сезон сдачи отчётности: итог

Фишинговая атака на бухгалтеров, зафиксированная в сентябре 2026 года, ещё раз показывает: искать бланки и формы на случайных сайтах опасно — за безобидной на вид кнопкой скачивания может скрываться вредоносный архив, а во вложении к обычному письму — тот же троян под видом акта сверки или счёта. Проверяйте адрес сайта и отправителя письма, не запускайте исполняемые файлы из архивов, храните сертификат КЭП на защищённом носителе.

Снизить число случайных поисков в сети помогает работа через один проверенный сервис для отчётности. Мы — партнёр СКБ Контур и предлагаем услуги на базе Контур.Экстерна: актуальные формы для ФНС, СФР, Росстата и других ведомств уже встроены в сервис, а требования из налоговой приходят прямо в личный кабинет вместе с автоматическими квитанциями о получении. Это не заменяет антивирус, но снимает необходимость искать нужный бланк на случайных сайтах — а вместе с ней и риск наткнуться на очередную приманку вроде Buhtrap.