Специалисты CERT-UA зафиксировали новую кибератаку группировки UAC-0050 на государственные учреждения. Злоумышленники массово рассылают электронные письма якобы от имени бухгалтера "ДТЭК энерго" с требованиями погасить задолженность за электроэнергию.
Об этом сообщила пресс-служба Госспецсвязи.
Злоумышленник имеет целью получить удаленный доступ к компьютерам жертв.
Волну вредоносных сообщений зафиксировали 29 октября 2026 года. По данным Госспецсвязи, эта атака особенно опасна в условиях массовых вражеских обстрелов украинской энергетической инфраструктуры и стабилизационных, а также аварийных отключений.
Чтобы обойти базовые системы защиты, злоумышленники использовали многоступенчатый процесс доставки вредной нагрузки. Жертва получает письмо с прикрепленным PDF-файлом, в котором содержалась ссылка на "уплату долга", после перехода по которому загружался RAR-архив из легитимного облачного хранилища DigitalOcean Spaces.
Внутри этого архива находился еще один RAR-архив, защищенный паролем, а также текстовый файл (TXT) с ключом для его распаковки. Финальным элементом цепи выступал исполняемый EXE-файл, являющийся самораспаковывающимся SFX-архивом.
Его запуск приводил к установке LiteManager для удаленного управления компьютером. Она устанавливалась в качестве системной службы с автоматическим запуском после загрузки операционной системы. Это позволяло злоумышленникам сохранять удаленный доступ к пораженному устройству.
Также хакеры применили технику маскировки серверов, через которые управляли атакой. Конфигурационный файл установленного программного обеспечения содержал значительное количество IP-адресов и доменных имен, большинство из которых принадлежали легитимным ресурсам. В то же время только некоторые из адресов использовались хакерами. Такой подход существенно усложняет обнаружение реальной инфраструктуры злоумышленников средствами сетевого мониторинга.
Пользователей призывают осторожничать с письмами, в которых требуют срочного погашения долгов. Также в Госспецсвязи призвали не переходить по сомнительным ссылкам или вводить пароли для распаковки неизвестных архивов.
Информацию о состоянии счетов рекомендуют проверять исключительно через официальные приложения поставщиков услуг или их верифицированные порталы.
Напомним, президент Владимир Зеленский подписал указы, которыми ввел санкции против 10 компаний и 19 россиян, которые вовлечены в создание российской спутниковой системы связи "Рассвет", а также против 39 судов "теневого флота" рф.
