Фахівці CERT-UA зафіксували кібератаку угруповання UAC-0050 на державні установи: зловмисники надсилали листи нібито від імені бухгалтера «ДТЕК Енерго» з вимогою погасити борг за електроенергію. Хвилю шкідливих повідомлень було зафіксовано 29 жовтня 2026 року.
Національна команда реагування на кіберінциденти CERT-UA, що діє при Державній службі спеціального зв'язку та захисту інформації, зафіксувала нову кібератаку угруповання UAC-0050 на державні установи. За повідомленням Держспецзв'язку, зловмисники здійснювали масову розсилку електронних листів, маскуючись під співробітників енергетичної компанії, з метою отримання прихованого віддаленого доступу до комп'ютерів жертв.
Листи надходили нібито від імені бухгалтера «ДТЕК Енерго» і стосувалися погашення заборгованості за електроенергію. У Держспецзв'язку наголосили, що «ця атака особливо небезпечна в умовах масових ворожих обстрілів української енергетичної інфраструктури та стабілізаційних, а також аварійних відключень, що відбуваються в цих умовах».
До листа додавався PDF-файл із посиланням для «сплати боргу». Перехід за ним ініціював завантаження RAR-архіву з хмарного сховища DigitalOcean Spaces. Усередині містився ще один RAR-архів, захищений паролем, і текстовий TXT-файл із ключем для його розпакування. Фінальним елементом ланцюга був виконуваний EXE-файл у форматі саморозпаковуваного SFX-архіву, запуск якого призводив до інсталяції програми для віддаленого керування LiteManager.
Програма встановлювалася як системна служба з автоматичним запуском під час завантаження операційної системи, що забезпечувало хакерам стабільний доступ до ураженого комп'ютера. Для приховування командних серверів зловмисники використали специфічну техніку: конфігураційний файл встановленого програмного забезпечення містив велику кількість IP-адрес і доменних імен, переважна більшість яких належала легітимним ресурсам. Для фактичної взаємодії з хакерами використовувалися лише окремі адреси — такий підхід суттєво ускладнює виявлення реальної інфраструктури зловмисників засобами мережевого моніторингу.
Фахівці Держспецзв'язку закликають бути вкрай обережними під час опрацювання листів із вимогами термінового погашення боргів, не переходити за сумнівними посиланнями та не вводити паролі для розпакування невідомих архівів. Інформацію про стан рахунків рекомендують перевіряти виключно через офіційні застосунки постачальників послуг або їхні верифіковані портали.
