Специалисты национальной команды реагирования на киберинциденты, кибератаки и киберугрозы CERT-UA при Государственной службе специальной связи и защиты информации Украины зафиксировали кибератаку на государственные учреждения со стороны группировки UAC-0050, которая осуществляет массовую рассылку электронных писем, маскируясь под сотрудников энергетической компании "ДТЭК", с целью получения скрытого удаленного доступа к компьютерам жертв.
"Волна вредоносных сообщений была зафиксирована 29 октября 2026 года. Хакеры рассылали письма, касающиеся погашения задолженности за электроэнергию, якобы от имени бухгалтера "ДТЭК Энерго"… Жертве отправляли письмо с прикрепленным PDF-файлом, в котором содержалась ссылка для "оплаты долга". Переход по ссылке инициировал загрузку RAR-архива из легитимного облачного хранилища DigitalOcean Spaces. Внутри этого архива находился еще один RAR-архив, защищенный паролем, а также текстовый файл (TXT) с ключом для его распаковки. Заключительным звеном цепочки выступал исполняемый EXE-файл, представляющий собой самораспаковывающийся SFX-архив", – сообщается на сайте Госспецсвязи в пятницу.
Отмечается, что запуск файла приводил к установке легитимного программного обеспечения LiteManager для удаленного управления. Программа устанавливалась как системная служба с автозапуском при загрузке операционной системы.
"Злоумышленники применили специфическую технику скрытия своих командных серверов (C2). Конфигурационный файл установленного программного обеспечения содержал значительное количество IP-адресов и доменных имен. Большинство из них принадлежали вполне легитимным ресурсам, тогда как для фактического взаимодействия с хакерами использовались лишь отдельные адреса. Такой подход существенно затрудняет выявление реальной инфраструктуры злоумышленников с помощью средств сетевого мониторинга", – отмечается в сообщении.
Специалисты Госспецсвязи призывают пользователей проявлять крайнюю осторожность при работе с электронными письмами, содержащими требования о срочном погашении долгов: не переходить по сомнительным ссылкам и не вводить пароли для распаковки неизвестных архивов, а информацию о состоянии счетов проверять исключительно через официальные приложения поставщиков услуг или их верифицированные порталы.
