Фахівці національної команди реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA при Державній службі спеціального зв'язку та захисту інформації України зафіксували кібератаку на державні установи угруповання UAC-0050, яке здійснює масову розсилку електронних листів, маскуючись під співробітників енергетичної компанії ДТЕК, з метою отримання прихованого віддаленого доступу до комп'ютерів жертв.
"Хвилю шкідливих повідомлень було зафіксовано 29 жовтня 2026 року. Хакери надсилали листи, що стосувалися погашення заборгованості за електроенергію нібито від імені бухгалтера "ДТЕК Енерго"… Жертві надсилали лист із прикріпленим PDF-файлом, у якому містилося посилання для "сплати боргу". Перехід за лінком ініціював завантаження RAR-архіву з легітимного хмарного сховища DigitalOcean Spaces. Усередині цього архіву знаходився ще один RAR-архів, захищений паролем, а також текстовий файл (TXT) із ключем для його розпакування. Фінальним елементом ланцюга виступав виконуваний EXE-файл, що є саморозпаковуваним SFX-архівом", – повідомляється на сайті Держспецзв'язку в п'ятницю.
Наголошується, що запуск файла призводив до інсталяції легітимного програмного забезпечення LiteManager для віддаленого керування. Програма встановлювалася як системна служба з автозапуском під час завантаження операційної системи.
"Зловмисники застосували специфічну техніку приховування своїх командних серверів (C2). Конфігураційний файл встановленого програмного забезпечення містив значну кількість IP-адрес та доменних імен. Більшість із них належали цілком легітимним ресурсам, тоді як для фактичної взаємодії з хакерами використовувалися лише окремі адреси. Такий підхід суттєво ускладнює виявлення реальної інфраструктури зловмисників засобами мережевого моніторингу", – зазначається в повідомленні.
Фахівці Держспецзв'язку закликають користувачів бути вкрай обережними під час опрацювання електронних листів із вимогами термінового погашення боргів: не слід переходити за сумнівними посиланнями та не вводити паролі для розпакування невідомих архівів, а інформацію про стан рахунків перевіряти виключно через офіційні застосунки постачальників послуг або їхні верифіковані портали.
