Хакеры рассылают письма госучреждениям от имени ДТЭК Ахметова

Специалисты Госспецсвязи зафиксировали новую кибератаку на государственные учреждения: хакеры рассылали письма о задолженностях за электроэнергию якобы от “ДТЭК Энерго”. Об этом сообщает Государственная служба специальной связи и защиты информации.

Специалисты национальной команды реагирования на киберинциденты, кибератаки и киберугрозы CERT-UA, действующей при Госспецсвязи, зафиксировали новую кибератаку группировки UAC-0050 на государственные учреждения.

“Злоумышленники осуществляют массовую рассылку электронных писем, маскируясь под сотрудников энергетической компании, с целью получения скрытого удаленного доступа к компьютерам жертв”, — говорится в сообщении.

Волна вредоносных сообщений была зафиксирована 29 октября 2026 года. Хакеры рассылали письма, касающиеся погашения задолженности за электроэнергию, якобы от имени бухгалтера “ДТЭК Энерго”.

“Эта атака особенно опасна в условиях массовых вражеских обстрелов украинской энергетической инфраструктуры и стабилизационных, а также аварийных отключений, происходящих в этих условиях”, — отметили в Госспецсвязи.

Для обхода базовых систем защиты злоумышленники использовали многоступенчатый процесс доставки вредоносной нагрузки.

Жертве отправляли письмо с прикрепленным PDF-файлом, в котором содержалась ссылка для “оплаты долга”. Переход по ссылке инициировал загрузку RAR-архива из легитимного облачного хранилища DigitalOcean Spaces.

Внутри этого архива находился ещё один RAR-архив, защищённый паролем, а также текстовый файл (TXT) с ключом для его распаковки. Заключительным элементом цепочки выступал исполняемый EXE-файл, представляющий собой самораспаковывающийся SFX-архив.

Его запуск приводил к установке легитимного программного обеспечения для удаленного управления — LiteManager.

Программа устанавливалась в штатном режиме как системная служба с автоматическим запуском при загрузке операционной системы, что гарантировало хакерам стабильный доступ к заражённому компьютеру.

Злоумышленники применили специфическую технику сокрытия своих командных серверов (C2). Конфигурационный файл установленного программного обеспечения содержал значительное количество IP-адресов и доменных имен.

Большинство из них принадлежали вполне легитимным ресурсам, тогда как для фактического взаимодействия с хакерами использовались лишь отдельные адреса. Такой подход существенно затрудняет выявление реальной инфраструктуры злоумышленников с помощью средств сетевого мониторинга.

Специалисты Госспецсвязи призывают пользователей проявлять крайнюю осторожность при работе с электронными письмами, содержащими требования о срочном погашении долгов.

Они просят не переходить по сомнительным ссылкам и не вводить пароли для распаковки неизвестных архивов.

Информацию о состоянии счетов следует проверять исключительно через официальные приложения поставщиков услуг или их верифицированные порталы.