BoryptGrab: стилер в пароль-защищённых архивах атаковал 1256+ российских компаний

Коротко: эксперты Positive Technologies (PT ESC TI) зафиксировали не менее пяти массовых волн рассылки стилера BoryptGrab, направленных против 1256+ российских организаций и ИП. Для доставки использовались пароль-защищённые архивы с легитимным Visual Studio debugger и подменной вредоносной библиотекой — такая связка обходит антивирусное сканирование вложений, потому что зашифрованный архив нельзя проверить без пароля. BoryptGrab крадёт пароли и сессии браузеров, данные из Telegram, Discord, Steam и криптокошельков, а также файлы с рабочего стола и из папки «Документы».

Что произошло

5 ноября 2026 года Positive Technologies опубликовала данные о кампании распространения вредоноса BoryptGrab — программы для кражи данных (стилера), нацеленной на российские компании и предпринимателей. По данным экспертов направления киберразведки PT ESC TI, минимум 1256 организаций и ИП получили вредоносные письма за время кампании.

Злоумышленник применял приём с «цепной реакцией»: взломав почтовый ящик одной жертвы, он использовал этот же адрес для рассылки новых заражённых писем её контактам — так письмо выглядело как продолжение легитимной деловой переписки. В одном из зафиксированных случаев атакующий отправил вредоносное письмо на корпоративный адрес, а спустя восемь дней использовал уже этот взломанный ящик для новой рассылки.

Как архив с отладчиком доставлял вредонос

Техническая часть кампании построена вокруг старого, но по-прежнему рабочего трюка — пароль-защищённого архива. Письма содержали вложение в виде ZIP или аналогичного архива, закрытого паролем: без пароля антивирусный шлюз не может заглянуть внутрь и проверить содержимое, поэтому вредоносные файлы беспрепятственно проходят почтовую фильтрацию.

Внутри архива находился легитимный исполняемый файл — отладчик Visual Studio (подписанный инструмент Microsoft, которому доверяют системы защиты), и рядом с ним — подменная динамическая библиотека (DLL) с таким же именем, какое отладчик ожидает загрузить из своей папки. При запуске «безобидного» отладчика Windows подгружала именно вредоносную библиотеку вместо настоящей системной — классическая техника DLL sideloading, которая использует доверие к подписанному процессу, а не уязвимость в самом архиваторе или формате файла.

Что крадёт BoryptGrab и кого атаковали

После запуска стилер собирает с заражённого устройства:

• логины, пароли и данные активных сессий браузеров;
• информацию из клиентов Telegram и Discord, а также данные Steam и криптокошельков;
• файлы с рабочего стола и из папки «Документы» — то есть произвольные локальные документы, таблицы и архивы пользователя;
• скриншоты экрана.

По распределению целей среди пострадавших больше всего индивидуальных предпринимателей — 44%, далее идут банки и финансовые организации — 14%, а топливно-энергетический сектор и органы власти делят оставшуюся заметную долю — по 11% каждый. Денис Кувшинов, руководитель отдела обнаружения атак (TI) Positive Technologies, подчеркнул: «Даже знакомый адрес отправителя не гарантирует, что письмо безопасно: злоумышленник может использовать взломанную почту контрагента».

Что делать получателям архивов по почте

Главный практический вывод для любого, кто регулярно получает вложения по почте: пароль на архиве не делает его безопасным сам по себе — он лишь мешает антивирусу проверить содержимое до того, как вы его откроете. Прежде чем запускать любой исполняемый файл из незнакомого архива — даже если это выглядит как известная подписанная утилита, — стоит:

1. Проверить реальный тип и происхождение файла, а не доверять иконке или имени — например, через определение формата по сигнатуре.
2. Не запускать «служебные» исполняемые файлы (отладчики, установщики, конвертеры) из писем, даже если отправитель знаком — особенно если письмо пришло неожиданно и содержит архив с паролем.
3. Загружать и проверять архивы в изолированной среде или через антивирус с распаковкой, а не открывать сразу на рабочем компьютере.

Подробный разбор того, какие расширения вложений считаются опасными и почему, — в нашем гиде по опасным расширениям файлов. А если нужно разобраться, чем вообще отличаются форматы архивов и какой из них безопаснее с паролем, — у нас есть сравнение ZIP, RAR и 7Z.

Источники

• CNews — Positive Technologies выявила вредоносные рассылки против более 1200 российских организаций и предпринимателей (5 ноября 2026)
• Lenta.ru — Российские компании атаковали опасной рассылкой (5 ноября 2026)

Смотрите также: раздел «Безопасность файлов» — как проверять вложения, архивы и ссылки перед открытием.