Урядова команда реагування на кіберінциденти CERT-UA повідомила про нову фішингову атаку угруповання UAC-0050 на українські державні установи. Зловмисники масово розсилають шкідливі листи, видаючи себе за представників «ДТЕК», щоб отримати віддалений доступ до комп’ютерів.
Атака була зафіксована 29 жовтня 2026 року. Хакери надсилали повідомлення про нібито погашення заборгованості за електроенергію від імені бухгалтера компанії.
Схема атаки
Зловмисники використовували складну багатоступеневу схему. Жертва отримувала лист із прикріпленим PDF-файлом, в якому містилося посилання для «сплати боргу». Перехід за лінком завантажував RAR-архів з хмарного сховища DigitalOcean Spaces.
У першому архіві знаходився другий RAR-архів, захищений паролем, а також текстовий файл з ключем для його розпакування. Усередині був виконуваний EXE-файл, який непомітно встановлював програму для віддаленого керування LiteManager, реєструючись як системна служба з автозапуском.
Приховування командних серверів
Угруповання UAC-0050 маскувало свою інфраструктуру, використовуючи конфігураційний файл LiteManager з великою кількістю безпечних IP-адрес і доменів. Це ускладнює виявлення атаки стандартними засобами моніторингу.
Рекомендації щодо захисту
Фахівці Держспецзв’язку радять дотримуватися основних правил кібергігієни:
- бути обачними з листами про термінову заборгованість;
- не переходити за сумнівними посиланнями з PDF-файлів і не вводити паролі для розпакування невідомих архівів;
- перевіряти стан рахунків лише через офіційні застосунки постачальників послуг або їхні верифіковані вебпортали.
Джерело: dev.ua (https://dev.ua/news/khakery-maskuiutsia-pid-dtek-1793357209)