Фахівці CERT-UA зафіксували нову кібератаку угруповання UAC-0050 на державні установи. Зловмисники масово розсилають електронні листи нібито від імені бухгалтера "ДТЕК енерго" з вимогами погасити заборгованість за електроенергію.
Про це повідомила пресслужба Держспецзв’язку.
Зловмисник мають на меті отримати віддалений доступ до комп’ютерів жертв.
Хвилю шкідливих повідомлень зафіксували 29 жовтня 2026 року. За даними Держспецзв’язку, ця атака є особливо небезпечною в умовах масових ворожих обстрілів української енергетичної інфраструктури та стабілізаційних, а також аварійних відключень.
Аби обійти базові системи захисту зловмисники використали багатоступеневий процес доставки шкідливого навантаження. Жертва отримує листа із прикріпленим PDF-файлом, у якому містилося посилання для "сплати боргу", після переходу за яким завантажувався RAR-архів з легітимного хмарного сховища DigitalOcean Spaces.
Всередині цього архіву знаходився ще один RAR-архів, захищений паролем, а також текстовий файл (TXT) із ключем для його розпакування. Фінальним елементом ланцюга виступав виконуваний EXE-файл, що є саморозпаковуваним SFX-архівом.
Його запуск призводив до встановлення програми LiteManager для віддаленого керування комп’ютером. Вона інсталювалася як системна служба з автоматичним запуском після завантаження операційної системи. Це давало зловмисникам змогу зберігати віддалений доступ до ураженого пристрою.
Також хакери застосували техніку маскування серверів, через які керували атакою. Конфігураційний файл встановленого програмного забезпечення містив значну кількість IP-адрес та доменних імен, більшість з яких належали легітимним ресурсам. Водночас лише окремі з адрес використовувалися хакерами. Такий підхід суттєво ускладнює виявлення реальної інфраструктури зловмисників засобами мережевого моніторингу.
Користувачів закликають бути обережними із листами, у яких вимагають термінового погашення боргів. Також у Держспецзв'язку закликали не переходити за сумнівними посиланнями або вводити паролі для розпакування невідомих архівів.
Інформацію про стан рахунків рекомендують перевіряти виключно через офіційні застосунки постачальників послуг або їхні верифіковані портали.
Нагадуємо, президент Володимир Зеленський підписав укази, якими ввів санкції проти 10 компаній і 19 росіян, які залучені до створення російської супутникової системи зв’язку "Рассвєт", а також проти 39 судень "тіньового флоту" рф.
