Фахівці CERT-UA зафіксували масову розсилку 29 жовтня; зловмисники маскують шкідливі програми під квитанції та використовують багаторівневі архіви з паролями.
Державні установи України зіткнулися з новою хвилею кібератак. За даними урядової команди реагування CERT-UA при Держспецзв'язку, 29 жовтня 2026 року зафіксовано масову розсилку небезпечних листів, до якої причетне угруповання UAC-0050. Шахраї видають себе за співробітників енергетичної компанії та надсилають повідомлення про нібито існуючу заборгованість за електроенергію. Мета таких дій — непомітно встановити на комп'ютери жертв софт для віддаленого керування.
Механізм проникнення побудований на кількох етапах. До листа прикріплюють PDF-документ із посиланням на «оплату боргу». Перехід за цим лінком автоматично завантажує архів із легітимного хмарного сховища DigitalOcean Spaces. Усередині знаходиться ще один архів, захищений паролем, а поруч — текстовий файл із ключем для його розпакування. Після відкриття спрацьовує виконуваний файл, який інсталює програму LiteManager. Цей легальний інструмент віддаленого доступу прописується в системі як служба й активується автоматично під час кожного запуску операційної системи.
Аби ускладнити виявлення своїх командних серверів, зловмисники вдалися до специфічної техніки маскування. У конфігураційному файлі програми вони вказали безліч сторонніх IP-адрес та доменів, більшість з яких належать цілком безпечним ресурсам. Для реального зв'язку використовуються лише окремі адреси, що суттєво ускладнює роботу мережевого моніторингу. Через це фахівці з кібербезпеки закликають бути вкрай обережними з листами, які вимагають терміново сплатити борги. Не варто переходити за сумнівними посиланнями та вводити паролі для розпакування невідомих файлів. Перевіряти стан особових рахунків слід виключно через офіційні додатки чи верифіковані портали постачальників послуг.
