Українські державні установи опинилися під ударом нової фішингової кампанії. Зловмисники надсилають листи нібито від бухгалтера ДТЕК Енерго з вимогою негайно погасити борг за електроенергію. Насправді за посиланням у повідомленні ховається програма для прихованого віддаленого керування комп’ютером, яка дає хакерам доступ до зараженої техніки.
Про атаку повідомили фахівці урядової команди реагування на кіберінциденти CERT-UA, що діє при Держспецзв’язку. Активність пов’язують із угрупованням UAC-0050. Нову хвилю шкідливих листів зафіксували 29 жовтня 2026 року. Метою атаки було отримати прихований віддалений доступ до комп’ютерів посадовців державних установ, тобто фактично до внутрішніх робочих систем, куди звичайному користувачеві зовні потрапити неможливо.
Фахівці наголошують, що зловмисники обрали для легенди особливо чутливу тему. Країна живе в умовах масованих ворожих обстрілів енергетичної інфраструктури, а також стабілізаційних і аварійних відключень світла, тому лист про борг за електроенергію виглядає правдоподібно. Саме на емоційну реакцію та неуважність отримувачів, за даними CERT-UA, і розраховують нападники. Такий вибір теми означає, що атака використовує реальні побутові турботи людей, які щодня стикаються з відключеннями і рахунками.
Щоб обійти базовий захист, хакери побудували атаку в кілька етапів. Спочатку жертва отримує повідомлення з вкладеним PDF-файлом, усередині якого є посилання «для сплати боргу». Перехід за ним запускає завантаження RAR-архіву з легітимного хмарного сховища DigitalOcean Spaces. Використання відомого сервісу допомагає уникнути підозр у систем захисту, адже трафік виглядає як звичайне завантаження з перевіреного ресурсу.
Далі ланцюг ускладнюється. Усередині архіву лежить ще один RAR-архів, захищений паролем, а поруч із ним — текстовий файл із ключем для розпакування. Такий прийом змушує користувача самостійно ввести пароль, тобто зробити дію, яку антивірусні системи не можуть перевірити автоматично. Фінальна ланка — EXE-файл, який насправді є саморозпаковуваним SFX-архівом. Під час його запуску інсталюється легітимна програма для віддаленого керування LiteManager. Вона працює як системна служба і автоматично стартує разом з операційною системою, забезпечуючи зловмисникам стабільний доступ до зараженого комп’ютера незалежно від того, чи працює користувач у цей момент.
У цій кампанії UAC-0050, як і в попередніх, застосувало прийом, що ускладнює виявлення командних серверів. Конфігураційний файл встановленої програми містить велику кількість IP-адрес і доменних імен. Більшість із них належать цілком легітимним ресурсам, і лише деякі справді використовуються для зв’язку з хакерами. Через це реальну інфраструктуру нападників складно виявити засобами мережевого моніторингу, адже фахівцю доводиться відфільтровувати численні безпечні адреси, щоб знайти справжні.
Фахівці Держспецзв’язку радять користувачам бути особливо обережними з листами, які вимагають негайно погасити борг. Не варто переходити за сумнівними посиланнями та вводити паролі для розпакування невідомих архівів. Перевіряти стан рахунків слід лише через офіційні застосунки постачальників послуг або їхні верифіковані портали, а не через посилання з листа. Нагадаємо, нещодавно хакери також створили фейковий сайт Claude, пропонуючи скачати «професійну версію» з бекдором, тож підроблені пропозиції, що маскуються під відомі сервіси, стали поширеним інструментом кіберзлочинців.