Урядова команда реагування на кіберінциденти CERT-UA, яка діє при Держспецзв’язку, зафіксувала нову фішингову атаку угруповання UAC-0050 на українські державні установи. Зловмисники здійснюють масову розсилку шкідливих електронних листів під виглядом енергетиків, аби отримати прихований віддалений доступ до комп’ютерів жертв.
Урядова команда реагування на кіберінциденти CERT-UA, яка діє при Держспецзв’язку, зафіксувала нову фішингову атаку угруповання UAC-0050 на українські державні установи. Зловмисники здійснюють масову розсилку шкідливих електронних листів під виглядом енергетиків, аби отримати прихований віддалений доступ до комп’ютерів жертв.
Хвилю фішингу було зафіксовано 29 жовтня 2026 року. Хакери розсилали повідомлення про нібито погашення заборгованості за електроенергію від імені бухгалтера «ДТЕК Енерго».
У Кіберполіції наголошують, що ця атака є особливо небезпечною на тлі постійних ворожих обстрілів енергетичної інфраструктури та вимушених відключень світла.
Для обходу базових систем захисту хакери використали багатоступеневу схему. Жертва отримувала лист із прикріпленим PDF-файлом, де містилося посилання нібито для «сплати боргу». Перехід за лінком запускав завантаження RAR-архіву з хмарного сховища DigitalOcean Spaces.
Всередині першого архіву знаходився другий RAR-архів, захищений паролем, а також текстовий файл (.txt) із ключем для його розпакування. Усередині запаковано виконуваний EXE-файл (SFX-архів). Його запуск непомітно встановлював легітимну програму для віддаленого керування LiteManager.
У результаті програма реєструвалася як системна служба з автозапуском під час включення ПК, що забезпечувало хакерам постійний контроль над пристроєм.
Для маскування своєї мережевої інфраструктури угруповання UAC-0050 використало вже знайому техніку: конфігураційний файл LiteManager містив великий список IP-адрес та доменних імен. Більшість із них належала цілком безпечним та легітимним ресурсам, і лише поодинокі адреси використовувалися для реального зв’язку з хакерами. Це значно ускладнює виявлення атаки за допомогою стандартних засобів мережевого моніторингу.
Фахівці Держспецзв’язку рекомендують дотримуватися базових правил кібергігієни:
бути вкрай обачними з листами про термінову заборгованість;
не переходити за сумнівними посиланнями з PDF-файлів та не вводити паролі для розпакування невідомих архівів;
перевіряти стан рахунків і заборгованостей виключно через офіційні застосунки постачальників послуг або їхні верифіковані вебпортали.
