Небезпечні листи від «ДТЕК»: хакери UAC-0050 атакують держустанови, викрадаючи доступ до ПК

Історія цієї кібератаки почалася 29 жовтня, коли фахівці урядової команди реагування на комп'ютерні надзвичайні події CERT-UA зафіксували масову розсилку шкідливих електронних листів. Повідомлення надходили нібито від бухгалтера «ДТЕК Енерго» і містили вимогу терміново сплатити борг за електроенергію, що особливо небезпечно на тлі російських ударів по енергетиці та аварійних відключень світла.

Схема атаки була продумана до дрібниць: у листах містився PDF-файл із посиланням, яке вело на «оплату». Однак після переходу за цим посиланням на комп'ютер завантажувався RAR-архів із хмарного сховища DigitalOcean Spaces. Всередині цього архіву знаходився ще один, захищений паролем, а також текстовий файл із ключем для його розпакування.

Кульмінацією цієї ланцюгової реакції ставав виконуваний EXE-файл, запуск якого призводив до інсталяції легітимного програмного забезпечення LiteManager. Ця програма, призначена для віддаленого керування, встановлювалася як системна служба з автозапуском разом з операційною системою, забезпечуючи хакерам постійний і прихований доступ до зараженого комп'ютера.

Зловмисники застосували складну техніку приховування своїх командних серверів. Конфігураційний файл LiteManager містив велику кількість IP-адрес і доменних імен, більшість з яких належали легітимним ресурсам. Це суттєво ускладнювало виявлення реальної інфраструктури хакерів засобами мережевого моніторингу, дозволяючи їм діяти непомітно.

Ця атака є продовженням серії кіберінцидентів. Раніше «Главком» повідомляв про кібератаки російських хакерів на український сектор безпеки та оборони, де CERT-UA виявила шкідливі листи, замасковані під повідомлення державних органів. Тоді для викрадення інформації зловмисники застосовували програму Lamehug, яка використовує технології штучного інтелекту.

Подібні фішингові атаки є частиною ширшої кампанії кіберзлочинності, спрямованої на дестабілізацію та викрадення інформації. Особливу увагу привертає використання хакерами легітимних програмних засобів та хмарних сховищ для маскування своєї діяльності, що робить виявлення та протидію таким загрозам вкрай складними.

Крім атак на державні установи, у ніч проти 30 жовтня також стало відомо про кібератаку на Binance, під час якої зловмисники отримали доступ до криптогаманців і вивели понад 2 млрд доларів в Ethereum. Ці інциденти підкреслюють зростаючу потребу в посиленні кібербезпеки та пильності користувачів.

У Держспецзв'язку наголошують, що така схема особливо небезпечна на тлі російських ударів по енергетиці та аварійних відключень світла, коли повідомлення про заборгованість можуть викликати додаткове занепокоєння.

Фахівці Держспецзв’язку. закликають користувачів бути вкрай обережними під час опрацювання електронних листів із вимогами термінового погашення боргів: не варто переходити за сумнівними посиланнями та не вводити паролі для розпакування невідомих архівів, а інформацію про стан рахунків перевіряти виключно через офіційні застосунки постачальників послуг або їхні верифіковані портали.

Історія з фішинговими листами від «ДТЕК» слугує черговим нагадуванням про важливість кібергігієни в сучасному світі. Щоб уникнути подібних загроз у майбутньому, українцям необхідно посилити пильність, перевіряти інформацію лише через офіційні канали та пам'ятати, що швидкість і довіра до неперевірених джерел можуть обернутися серйозними наслідками.