Хакерське угруповання UAC-0050 атакує державні установи України, розсилаючи листи від імені ДТЕК. Під приводом погашення заборгованості за електроенергію зловмисники змушують працівників завантажити програму, яка дає їм віддалений доступ до комп’ютерів.
Про атаку повідомили фахівці урядової команди CERT-UA, що діє при Державній службі спеціального зв’язку та захисту інформації. Нову хвилю шкідливих повідомлень було зафіксовано 29 жовтня 2026 року. Листи нібито надсилав бухгалтер ДТЕК Енерго і вимагали терміново погасити борг за спожиту електроенергію. Мета атаки полягала в тому, щоб отримати прихований віддалений доступ до комп’ютерів у державних установах, зокрема посадовців.
Зловмисники розраховують на емоційну реакцію та неуважність отримувачів. В CERT-UA наголошують, що легенду обрано цинічно: країна живе в умовах масованих ворожих обстрілів енергетичної інфраструктури, а також стабілізаційних і аварійних відключень світла, тож лист про борг виглядає цілком правдоподібно. Саме тому, за оцінкою фахівців, така атака є особливо небезпечною для установ, які працюють в умовах постійних перебоїв із живленням.
Щоб обійти базовий захист, нападники побудували атаку у кілька кроків. Жертва отримує лист із вкладеним PDF-файлом, в якому міститься посилання «для сплати боргу». Перехід за посиланням запускає завантаження RAR-архіву з легітимного хмарного сховища DigitalOcean Spaces. Використання відомого сервісу допомагає зловмисникам не викликати підозр у систем захисту. Усередині архіву лежить ще один захищений паролем архів, а поряд текстовий файл із ключем для розпакування. Фінальна ланка ланцюга — виконуваний файл, який насправді є саморозпаковуваним SFX-архівом.
Запуск цього файлу інсталює легітимну програму для віддаленого керування LiteManager. Вона працює як системна служба і автоматично стартує разом з операційною системою, що забезпечує хакерам стабільний доступ до зараженого комп’ютера. Таким чином шкідливе програмне забезпечення маскується під звичайне службове ПЗ, і його складніше помітити без спеціальних засобів перевірки.
У цій кампанії UAC-0050, як і в попередніх, застосовано прийом, що ускладнює виявлення командних серверів. Конфігураційний файл встановленої програми містить велику кількість IP-адрес і доменних імен. Більшість із них належать цілком легітимним ресурсам, і лише деякі справді використовуються для зв’язку з хакерами. Через це реальну інфраструктуру нападників важко визначити засобами мережевого моніторингу.
Фахівці Держспецзв’язку радять користувачам бути вкрай обережними з листами, які вимагають негайно погасити борг. Не варто переходити за сумнівними посиланнями або вводити паролі для розпакування невідомих архівів. Перевіряти стан рахунків слід лише через офіційні застосунки постачальників послуг або їхні верифіковані портали, а не через посилання з листа.