Російські хакери намагаються отримати доступ до комп'ютерів українських держустанов через фальшиві листи від ДТЕК. Про нову кібератаку 30 жовтня повідомила Держслужба спецзв'язку і захисту інформації.

Масова розсилка стартувала 29 жовтня. За атакою стоїть хакерське угруповання UAC-0050, яке, за інформацією Центру протидії дезінформації при РНБО, пов'язане з правоохоронними органами країни-агресорки. 

Зловмисники видають себе за бухгалтера компанії "ДТЕК Енерго" і надсилають державним установам повідомлення про необхідність погасити борг за електроенергію. Насправді ж за такими листами ховається спроба отримати прихований доступ до комп'ютерів отримувачів.

Як працює схема з фальшивими листами від ДТЕК

У Держспецзв'язку пояснили, що хакери використали кілька файлів і архівів, аби приховати програму для віддаленого керування комп'ютером та ускладнити її виявлення.

Схема працює так:

• спочатку на електронну пошту надходить лист із PDF-документом. У ньому є посилання, за яким нібито можна сплатити борг за світло.;
• після переходу за посиланням починається завантаження RAR-архіву з хмарного сховища DigitalOcean Spaces. Усередині міститься ще один архів, захищений паролем, а також текстовий файл зз ключем для його відкриття;
• після розпакування користувач отримує EXE-файл. Його запуск встановлює на комп'ютер програму LiteManager, яку хакери використовують для віддаленого доступу до пристрою.

"Програма встановлювалася у штатному режимі як системна служба з автоматичним запуском під час завантаження операційної системи, що гарантувало хакерам стабільний доступ до ураженого комп’ютера", - пояснили у Держспецзв'язку.

Зловмисники подбали і про те, щоб ускладнити пошук серверів, через які вони керують зараженими комп'ютерами. Для цього в налаштуваннях програми вони вказують велику кількість IP-адрес і доменів. Більшість з них належать звичайним інтернет-ресурсам, які не мають стосунку до атаки. Для зв'язку з хакерами використовуються лише окремі адреси.

У Держспецзв'язку зазначили, що угруповання UAC-0050 застосовувало такий спосіб маскування і під час попередніх атак. Через це системам кіберзахисту складніше визначити, які саме сервери використовують зловмисники.

Чому хакери обрали тему боргів за електроенергію

Нова кібератака відбувається на тлі російських ударів по українській енергосистемі та відключень світла.

"Ця атака особливо небезпечна в умовах масових ворожих обстрілів української енергетичної інфраструктури та стабілізаційних, а також аварійних відключень, що відбуваються в цих умовах", - наголосили у Держспецзв'язку.

Фахівці закликали уважно перевіряти електронні листи з вимогами терміново погасити заборгованість. У Держспецзв'язку застерегли від переходу за підозрілими посиланнями, завантаження невідомих архівів та введення паролів для їхнього розпакування. Перевіряти борги за електроенергію у відомстві радять лише через офіційні застосунки або сайти постачальників послуг.

Як писав "Ми-Україна" раніше, найбільша в світі криптобіржа Binance повідомила про хакерську атаку зі збитками у понад 6 млрд дол.