Державні установи України отримують електронні листи нібито від працівників «ДТЕК Енерго» з вимогами погасити борги за електроенергію. Насправді повідомлення містять посилання на шкідливі файли, запуск яких дає зловмисникам віддалений доступ до комп’ютерів.
Про нову кібератаку повідомила Державна служба спеціального зв’язку та захисту інформації України. Її фахівці з національної команди реагування на кіберінциденти CERT-UA зафіксували активність хакерського угруповання UAC-0050.
Масову розсилку шкідливих листів виявили 29 жовтня 2026 року. Зловмисники видавали себе за співробітників енергетичної компанії, зокрема бухгалтера «ДТЕК Енерго», і надсилали повідомлення про нібито наявну заборгованість за електроенергію.
У Держспецзв’язку наголосили, що така атака становить особливу загрозу на тлі російських ударів по енергетичній інфраструктурі України та вимушених стабілізаційних і аварійних відключень електроенергії.
Як працює схема атаки
Для обходу базових засобів кіберзахисту хакери побудували багатоступеневу схему поширення шкідливого програмного забезпечення.
Спочатку адресат отримував лист із прикріпленим PDF-документом. У ньому містилося посилання, за яким пропонували нібито сплатити борг. Після переходу за ним завантажувався RAR-архів із хмарного сховища DigitalOcean Spaces.
Усередині архіву містився ще один RAR-файл, захищений паролем, а також текстовий документ із ключем для його розпакування. Останнім елементом ланцюга був виконуваний EXE-файл у форматі саморозпаковуваного архіву SFX.
Його запуск встановлював програму LiteManager, призначену для віддаленого керування комп’ютерами. Вона інсталювалася як системна служба й автоматично запускалася разом з операційною системою. Це давало зловмисникам можливість зберігати постійний віддалений доступ до зараженого пристрою.
Як хакери приховували свою інфраструктуру
Фахівці також виявили, що зловмисники використовували спеціальний спосіб маскування серверів, через які керували зараженими комп’ютерами.
Конфігураційний файл LiteManager містив велику кількість IP-адрес і доменних імен. Більшість із них належали звичайним легітимним ресурсам. Водночас для зв’язку з хакерами використовували лише окремі адреси.
Такий підхід ускладнює виявлення справжньої інфраструктури зловмисників під час моніторингу мережевого трафіку.
У Держспецзв’язку закликали користувачів уважно перевіряти електронні листи, особливо якщо в них вимагають терміново сплатити борг. Не варто переходити за підозрілими посиланнями або вводити паролі для розпакування невідомих архівів.
Перевіряти інформацію про заборгованість слід лише через офіційні застосунки постачальників послуг або їхні підтверджені вебпортали.
