Урядова Команда Реагування на Кіберінциденти CERT-UA Попереджає про Нову Загрозу
Українські державні установи стали мішенню нової фішингової атаки, яку проводить кіберзлочинне угруповання UAC-0050. Зловмисники використовують прийом маскування під відомого енергетичного постачальника, компанію “ДТЕК”, з метою отримання несанкціонованого віддаленого доступу до комп’ютерів жертв. Інформацію про це розповсюдила урядова команда реагування на кіберінциденти CERT-UA, яка діє під егідою Державної служби спеціального зв’язку та захисту інформації України (Держспецзв’язку).
Механізм Атаки: Електронні Листи про Заборгованість та Шкідливе Програмне Забезпечення
За даними Держспецзв’язку, хвиля шкідливих електронних повідомлень була зафіксована 29 жовтня 2026 року. Хакерська група розсилала листи, які нібито стосувалися погашення заборгованості за електроенергію. Ці листи надсилалися нібито від імені бухгалтера компанії “ДТЕК Енерго”.
Жертви отримували електронний лист із вкладенням у форматі PDF. Всередині цього файлу знаходилося посилання, яке закликало до “сплати боргу”. Перехід за цим посиланням ініціював процес завантаження RAR-архіву з легітимного хмарного сховища DigitalOcean Spaces.
Усередині першого RAR-архіву виявлявся ще один архів, також у форматі RAR, який був захищений паролем. Для його розпакування додавався текстовий файл (TXT), що містив пароль. Фінальним етапом атаки був виконуваний EXE-файл, який, у свою чергу, являв собою саморозпаковуваний SFX-архів.
Встановлення Програми Віддаленого Доступу LiteManager
Запуск цього EXE-файлу призводив до встановлення на комп’ютер жертви легітимної програми для віддаленого керування – LiteManager. Важливо зазначити, що програма встановлювалася як системна служба, забезпечуючи автоматичний запуск під час завантаження операційної системи. Це дозволяло зловмисникам приховано отримувати доступ до комп’ютера.
Техніка Приховування Командних Серверів (C2)
Особливістю цієї атаки є застосування зловмисниками складної техніки для приховування своїх командних серверів (C2). Конфігураційний файл встановленої програми LiteManager містив велику кількість IP-адрес та доменних імен. Більшість із цих адрес належали цілком законним ресурсам, що ускладнювало їх ідентифікацію як інфраструктури зловмисників. Для фактичної взаємодії з хакерами використовувалися лише обмежена кількість цих адрес.
Такий підхід, як наголошується у повідомленні Держспецзв’язку, суттєво ускладнює виявлення реальної інфраструктури зловмисників засобами мережевого моніторингу.
Рекомендації від Держспецзв’язку: Як Захиститися від Кіберзагроз
Фахівці Держспецзв’язку закликають усіх користувачів бути надзвичайно уважними при обробці електронних листів, особливо тих, що містять вимоги щодо термінового погашення боргів.
- Не переходьте за підозрілими посиланнями: Уникайте кліків на посилання, які виглядають нетипово або викликають сумніви.
- Не вводьте паролі для розпакування невідомих архівів: Ніколи не надавайте паролі для розпакування архівів, отриманих з ненадійних джерел.
- Перевіряйте інформацію про рахунки через офіційні канали: Дані про стан ваших рахунків завжди перевіряйте виключно через офіційні застосунки постачальників послуг або їхні верифіковані веб-портали.
Дотримання цих простих правил значно знизить ризик стати жертвою фішингових атак та зберегти вашу інформацію в безпеці.
