зараз в етері

Безкоштовний вебінар: ПДВ - спрощення, річна інвентаризація, бронювання під загрозою & Держбюджет 2027: до чого готуватися бізнесу

Кібератака під виглядом листів від ДТЕК: хакери отримують віддалений доступ до комп’ютерів

CERT-UA попереджає про нову кібератаку угруповання UAC-0050 на державні установи. Зловмисники маскуються під співробітників «ДТЕК Енерго» та надсилають електронні листи з вимогами погасити нібито наявну заборгованість за електроенергію. Перехід за посиланням і запуск вкладеного архіву призводять до встановлення програми віддаленого керування LiteManager, яка надає хакерам прихований доступ до комп’ютера. Як розпізнати небезпечні листи та яких правил кібербезпеки слід дотримуватися, щоб не стати жертвою атаки?

Експерт:Аліна Лакіс
1

32

Фахівці національної команди реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA, що діє при Держспецзв’язку, зафіксували нову кібератаку угруповання UAC-0050 на державні установи. Зловмисники здійснюють масову розсилку електронних листів, маскуючись під співробітників енергетичної компанії, з метою отримання прихованого віддаленого доступу до комп’ютерів жертв.

Хвилю шкідливих повідомлень було зафіксовано 29 жовтня 2026 року. Хакери надсилали листи, що стосувалися погашення заборгованості за електроенергію  нібито від імені бухгалтера «ДТЕК Енерго».


Ця атака особливо небезпечна в умовах масових ворожих обстрілів української енергетичної інфраструктури та стабілізаційних, а також аварійних відключень, що відбуваються в цих умовах.


Механізм атаки та ланцюг доставки


Для обходу базових систем захисту зловмисники використали багатоступеневий процес доставки шкідливого навантаження. Жертві надсилали лист із прикріпленим PDF-файлом, у якому містилося посилання для «сплати боргу». Перехід за лінком ініціював завантаження RAR-архіву з легітимного хмарного сховища DigitalOcean Spaces.


Усередині цього архіву знаходився ще один RAR-архів, захищений паролем, а також текстовий файл (TXT) із ключем для його розпакування. Фінальним елементом ланцюга виступав виконуваний EXE-файл, що є саморозпаковуваним SFX-архівом.


Його запуск призводив до інсталяції легітимного програмного забезпечення для віддаленого керування – LiteManager. Програма встановлювалася у штатному режимі як системна служба з автоматичним запуском під час завантаження операційної системи, що гарантувало хакерам стабільний доступ до ураженого комп’ютера.


Маскування інфраструктури управління


Як і в попередніх кампаніях кластера UAC-0050, зловмисники застосували специфічну техніку приховування своїх командних серверів (C2). Конфігураційний файл встановленого програмного забезпечення містив значну кількість IP-адрес та доменних імен. Більшість із них належали цілком легітимним ресурсам, тоді як для фактичної взаємодії з хакерами використовувалися лише окремі адреси.


Такий підхід суттєво ускладнює виявлення реальної інфраструктури зловмисників засобами мережевого моніторингу.

Фахівці Держспецзв’язку закликають користувачів бути вкрай обережними під час опрацювання електронних листів із вимогами термінового погашення боргів. У жодному разі не слід переходити за сумнівними посиланнями та вводити паролі для розпакування невідомих архівів. Інформацію про стан рахунків варто перевіряти виключно через офіційні застосунки постачальників послуг або їхні верифіковані портали

Подобаються наші матеріали? Додайте нас в улюблені джерела Google, щоб частіше бачити наші новини в пошуку та ШІ-оглядах в Google.

Додати


Джерело: Урядова «гаряча лінія» 1545

Аліна Лакіс

Експерт

Аліна Лакіс

Редакторка Бухгалтерської платформи 7eminar

Матеріали на сайті https://7eminar.ua можуть містити роз'яснення державних органів та погляди зовнішніх авторів. Їхній зміст не завжди збігається з позицією редакції. Кожна публікація відображає особисту думку автора. Редакція не редагує авторські тексти і не несе відповідальності за їх зміст.
1

32

1

4

3

180

1

13

1

31

1

677

3

90

4

185

8

1242

6

1321

1

8

5

219

5

175

15

17061

4

88

4

1360

2

25

4

1534

9

11134

3

30