Российские хакеры атакуют госучреждения, рассылая письма от имени ДТЭК

Російське хакерське угруповання UAC-0050 здійснює чергову кібератаку на українські держустанови.

Про це попереджає Державна служба спеціального зв’язку та захисту інформації України.

Зловмисники здійснюють масову розсилку електронних листів, маскуючись під співробітників енергетичної компанії, з метою отримання прихованого віддаленого доступу до комп’ютерів жертв, — розповіли у Держспецзв’язку.

Зазначається, що хвилю таких шкідливих повідомлень було зафіксовано вчора, 29 жовтня,. Хакери надсилали листи, що стосувалися погашення заборгованості за електроенергію нібито від імені бухгалтера «ДТЕК Енерго».

Ця атака особливо небезпечна в умовах масових ворожих обстрілів української енергетичної інфраструктури та стабілізаційних, а також аварійних відключень, що відбуваються в цих умовах, — наголошують у Держспецзв’язку.

Атака здійснювалася в такий спосіб:

• у цих листах містився прикріплений PDF-файл, у якому містилося посилання для «сплати боргу»;
• перехід за лінком ініціював завантаження RAR-архіву з легітимного хмарного сховища DigitalOcean Spaces;
• усередині цього архіву знаходився ще один RAR-архів, захищений паролем, а також текстовий файл (TXT) із ключем для його розпакування;
• фінальним елементом ланцюга виступав виконуваний EXE-файл, що є саморозпаковуваним SFX-архівом. Його запуск призводив до інсталяції легітимного програмного забезпечення для віддаленого керування — LiteManager. Програма встановлювалася у штатному режимі як системна служба з автоматичним запуском під час завантаження операційної системи, що гарантувало хакерам стабільний доступ до ураженого комп’ютера.

Держспецзв’язку закликає користувачів бути вкрай обережними під час опрацювання електронних листів із вимогами термінового погашення боргів:

У жодному разі не слід переходити за сумнівними посиланнями та вводити паролі для розпакування невідомих архівів. Інформацію про стан рахунків варто перевіряти виключно через офіційні застосунки постачальників послуг або їхні верифіковані портали.