Фейкові рахунки від імені ДТЕК: про нову кібератаку попередило Держспецзв’язку

Хакери угруповання UAC-0050 атакують державні установи, надсилаючи електронні листи нібито від імені працівників компанії "ДТЕК Енерго". Повідомлення стосуються погашення заборгованості за електроенергію та містять шкідливі файли, запуск яких дає зловмисникам віддалений доступ до комп’ютерів. Про це повідомили в Державній службі спеціального зв’язку та захисту інформації.

В Держспецзв’язку зазначили, що першу хвилю таких листів фахівці національної команди реагування на кіберінциденти CERT-UA зафіксували 29 жовтня 2026 року. Зловмисники видавали себе за бухгалтера енергетичної компанії.

Для поширення шкідливого програмного забезпечення хакери використовують кілька етапів:

• на електронну пошту надходить лист із PDF-файлом, у якому міститься посилання для нібито сплати боргу за електроенергію;
• після переходу за посиланням завантажується RAR-архів із хмарного сховища DigitalOcean Spaces;
• усередині архіву міститься ще один архів, захищений паролем, а також текстовий файл із ключем для його розпакування;
• після розпакування користувач отримує виконуваний EXE-файл. Його запуск встановлює програму LiteManager для віддаленого керування комп’ютером.

Фахівці пояснюють, що програма встановлюється як системна служба й автоматично запускається разом з операційною системою. Це дає хакерам можливість зберігати віддалений доступ до зараженого пристрою.

"Як і в попередніх кампаніях кластера UAC-0050, зловмисники застосували специфічну техніку приховування своїх командних серверів (C2). Конфігураційний файл встановленого програмного забезпечення містив значну кількість IP-адрес та доменних імен", — йдеться в повідомленні.

Більшість із них належать легітимним ресурсам, але лише окремі адреси використовуються для безпосереднього зв’язку з хакерами.

Така схема ускладнює виявлення справжньої інфраструктури зловмисників за допомогою систем мережевого моніторингу.

У Держспецзв’язку закликають бути обережними з електронними повідомленнями, у яких вимагають терміново сплатити заборгованість.

Фахівці рекомендують:

• не переходити за підозрілими посиланнями в електронних листах;
• не завантажувати та не запускати невідомі файли;
• не вводити паролі для розпакування архівів із ненадійних джерел;
• перевіряти інформацію про заборгованість лише через офіційні застосунки постачальників послуг або їхні перевірені вебпортали.

У відомстві наголошують, що особливо важливо дотримуватися цих правил на тлі російських атак на енергетичну інфраструктуру та відключень електроенергії.