"Сплатіть борг за світло": хакери атакують держустанови, маскуючись під ДТЕК
На державні установи України здійснюють кібератаку, під час якої зловмисники розсилають електронні листи нібито від імені співробітників енергетичної компанії ДТЕК. Мета хакерів — отримати прихований віддалений доступ до комп’ютерів установ.
Про нову загрозу повідомила національна команда реагування на кіберінциденти CERT-UA, яка діє при Держспецзв’язку. Хвилю шкідливих повідомлень зафіксували 29 жовтня 2026 року. Листи надходили нібито від бухгалтера "ДТЕК Енерго" та стосувалися погашення заборгованості за електроенергію.
Як працює схема кібератаки
Зловмисники використовують багатоступеневий механізм поширення шкідливого програмного забезпечення, щоб обійти базові системи захисту. Спочатку адресат отримує електронний лист із прикріпленим PDF-файлом. У документі міститься посилання, за яким пропонують сплатити нібито наявний борг за електроенергію.
Після переходу за посиланням завантажується RAR-архів із хмарного сховища DigitalOcean Spaces. Усередині нього розміщений ще один архів, захищений паролем, а також текстовий файл із ключем для його розпакування.
Наступним етапом стає запуск EXE-файлу, який є саморозпаковуваним SFX-архівом. Він встановлює на комп’ютер програму LiteManager — легітимне програмне забезпечення для віддаленого керування.
Програму інсталюють у штатному режимі як системну службу з автоматичним запуском під час завантаження операційної системи. Це забезпечує зловмисникам стабільний віддалений доступ до ураженого комп’ютера.
Як хакери приховують свої сервери
Для маскування інфраструктури управління зловмисники використали техніку, яку застосовували і в попередніх кампаніях угруповання UAC-0050.
Зокрема, конфігураційний файл встановленої програми містив велику кількість IP-адрес і доменних імен. Більшість із них належали легітимним ресурсам, тоді як для фактичного зв’язку з хакерами використовувалися лише окремі адреси.
Такий підхід ускладнює виявлення справжніх командних серверів зловмисників за допомогою мережевого моніторингу.
Як захиститися від атаки
У Держспецзв’язку закликають користувачів бути особливо обережними з електронними листами, у яких вимагають терміново погасити заборгованість. Фахівці рекомендують:
- не переходити за підозрілими посиланнями в електронних листах;
- не вводити паролі для розпакування невідомих архівів;
- перевіряти інформацію про стан рахунків виключно через офіційні застосунки постачальників послуг або їхні верифіковані портали.
У CERT-UA наголошують на небезпеці таких повідомлень, особливо в умовах ворожих обстрілів енергетичної інфраструктури України та стабілізаційних і аварійних відключень електроенергії.
Нагадаємо, розвиток онлайн-сервісів створює нові можливості для громадян, однак водночас ними активно користуються шахраї. Зловмисники створюють фішингові сайти, підроблені сторінки та чат-боти, які імітують державні ресурси.
