Опасные письма от «ДТЭК»: хакеры UAC-0050 атакуют госучреждения, похищая доступ к ПК

История этой кибератаки началась 29 октября, когда специалисты правительственной команды реагирования на компьютерные чрезвычайные события CERT-UA зафиксировали массовую рассылку вредоносных электронных писем. Сообщения поступали якобы от бухгалтера «ДТЭК Энерго» и содержали требование срочно оплатить долг за электроэнергию, что особенно опасно на фоне российских ударов по энергетике и аварийных отключений света.

Схема атаки была продумана до мелочей: в письмах содержался PDF-файл со ссылкой, которая вела на «оплату». Однако после перехода по этой ссылке на компьютер загружался RAR-архив из облачного хранилища DigitalOcean Spaces. Внутри этого архива находился еще один, защищенный паролем, а также текстовый файл с ключом для его распаковки.

Кульминацией этой цепной реакции становился исполняемый EXE-файл, запуск которого приводил к инсталляции легитимного программного обеспечения LiteManager. Эта программа, предназначенная для удаленного управления, устанавливалась как системная служба с автозапуском вместе с операционной системой, обеспечивая хакерам постоянный и скрытый доступ к зараженному компьютеру.

Злоумышленники применили сложную технику скрытия своих командных серверов. Конфигурационный файл LiteManager содержал большое количество IP-адресов и доменных имен, большинство из которых принадлежали легитимным ресурсам. Это существенно усложняло обнаружение реальной инфраструктуры хакеров средствами сетевого мониторинга, позволяя им действовать незаметно.

Эта атака является продолжением серии киберинцидентов. Ранее «Главком» сообщал о кибератаках российских хакеров на украинский сектор безопасности и обороны, где CERT-UA обнаружила вредоносные письма, замаскированные под сообщения государственных органов. Тогда для похищения информации злоумышленники применяли программу Lamehug, которая использует технологии искусственного интеллекта.

Подобные фишинговые атаки являются частью более широкой кампании киберпреступности, направленной на дестабилизацию и похищение информации. Особое внимание привлекает использование хакерами легитимных программных средств и облачных хранилищ для маскировки своей деятельности, что делает выявление и противодействие таким угрозам крайне сложными.

Кроме атак на государственные учреждения, в ночь на 30 октября также стало известно о кибератаке на Binance, во время которой злоумышленники получили доступ к криптокошелькам и вывели более 2 млрд долларов в Ethereum. Эти инциденты подчеркивают растущую потребность в усилении кибербезопасности и бдительности пользователей.

В Госспецсвязи отмечают, что такая схема особенно опасна на фоне российских ударов по энергетике и аварийных отключений света, когда сообщения о задолженности могут вызвать дополнительное беспокойство.

Специалисты Госспецсвязи призывают пользователей быть крайне осторожными при обработке электронных писем с требованиями срочного погашения долгов: не стоит переходить по сомнительным ссылкам и не вводить пароли для распаковки неизвестных архивов, а информацию о состоянии счетов проверять исключительно через официальные приложения поставщиков услуг или их верифицированные порталы.

История с фишинговыми письмами от «ДТЭК» служит очередным напоминанием о важности кибергигиены в современном мире. Чтобы избежать подобных угроз в будущем, украинцам необходимо усилить бдительность, проверять информацию только через официальные каналы и помнить, что скорость и доверие к непроверенным источникам могут обернуться серьезными последствиями.