Кібератаки під виглядом гуманітарної допомоги: застереження CERT-UA

CERT-UA попереджає про небезпечну хвилю атак, де зловмисники маскуються під організаторів гуманітарної допомоги. Завантаження файлів із таких листів може призвести до зараження пристроїв і викрадення конфіденційної інформації

4

10


Національна команда реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA попереджає:

протягом березня – квітня 2026 року значно зросла інтенсивність кібератак, спрямованих на органи місцевого самоврядування та особливо – на заклади охорони здоров’я, зокрема на клінічні лікарні та лікарні екстреної (швидкої) медичної допомоги.

Фахівці встановили, що первинна взаємодія з об’єктом кібератаки здійснюється електронною поштою під виглядом обговорення пропозиції щодо надання гуманітарної допомоги. Під час такого листування зловмисники пропонують перейти за посиланням та завантажити архів з формою для заповнення даних.


Крім того, для підсилення легенди вони також можуть розробляти вебсторінку фейкової організації або реалізовувати завантаження стороннього скрипта з легітимного вебресурсу, вразливого до XSS (Cross Site Scripting).


Запуск файлу із завантаженого архіву врешті призводить до ураження пристроїв шкідливими програмами.


  1. На одному з етапів довантажується програмний засіб AGINGFLY, який може завантажувати файли, робити знімки екрана, запускати кейлогер та виконувати програмний код і команди.
  2. Водночас використовується PowerShell-скрипт SILENTLOOP, що забезпечує виконання команд, автооновлення конфігурації та отримання актуальної IP-адреси сервера управління з каналу Telegram.
  3. Також зловмисники застосовують CHROMELEVATOR для викрадення автентифікаційних даних з інтернет-браузерів та ZAPIXDESK для викрадення даних з месенджера WhatsApp.
  4. Крім того, виконують розвідку та горизонтальне переміщення локальною мережею. Зокрема, виявлено як примітивні сканери підмереж, так і публічно доступний інструментарій (наприклад, RUSTSCAN) тощо.


Фахівці CERT-UA наголошують, що об’єктами кібератак можуть бути також представники Сил оборони України. У березні від учасника інформаційного обміну надійшло повідомлення щодо розповсюдження у месенджері Signal нібито оновленої версії програмного засобу для операторів FPV «BACHU» у вигляді архіву «bachu.zip». Насправді зі скомпрометованого облікового запису Signal було розіслано архів, запуск виконуваного файлу з якого призводить до ураження програмою AGINGFLY.


Джерело: Урядовий портал


Читайте більше:


Цифрові ППР та автоматична звірка: новий сервіс в Дія

Виявили помилку в Е-кабінеті: як звірити стан розрахунків з бюджетом

Чи є обмеження спроб введення паролю КЕП, якщо він неправильний

Мінфін оновив Порядок обміну електронними документами: що зміниться

Довідка податкового резидента – онлайн та паперова версія: як отримати

✨ Новинка! Унікальний сервіс – АІ-Консультант для бухгалтера! Ознайомтесь із його можливостями вже зараз за посиланням
Матеріали на сайті https://7eminar.ua можуть містити роз’яснення державних органів та погляди зовнішніх авторів. Їхній зміст не завжди збігається з позицією редакції. Кожна публікація відображає особисту думку автора. Редакція не редагує авторські тексти і не несе відповідальності за їх зміст.
4

10

Отримуйте щодня свіжі новини та корисні подарунки 🎁👇

1

5

2

43

1

5

2

38

2

5

2

25

3

194

3

1382

4

45

4

18

3

481

2

358

4

25

3

24

4

4342

3

68

3

823

10

10892

6

7519

4

2977