Команда CERT-UA виявила таргетовану кібератаку

22 січня 2024 року українська урядова команда реагування на комп’ютерні надзвичайні події CERT-UA виявила значну загрозу кібербезпеки, пов’язану з масовим розсиланням електронних листів. Електронні листи нібито надходили від Державної служби спеціального зв’язку та Державної служби України з надзвичайних ситуацій (ДСНС). Повідомлення містили RAR-архів або посилання на Bitbucket, начебто пов’язані з «видаленням вірусів» і «евакуацією».

Після відкриття будь-якого з файлів, як-от «Електронний план евакуації.rar», «plan_dsns.gov.ua.rar» і «CCleaner.rar», запускається інсталятор MSI install.msi. Цей інсталятор встановлює на комп’ютер жертви програмне забезпечення для дистанційного керування RemoteUtilities, конфігураційний файл якого містить 15 різних IP-адрес командно-контрольних серверів.

Статистика Bitbucket свідчить, що з 23:00 21 січня 2024 року до 10:30 22 січня 2024 року шкідливі файли були завантажені понад 3000 разів. Хоча кількість успішно інфікованих комп’ютерів може сягати кількох десятків, спеціалісти CERT-UA вжили заходів для протидії кіберзагрозі, пом’якшивши її вплив на більшість постраждалих систем.

Кібератака була здійснена групою UAC-0050 — кіберзловмисником, який діє з 2020 року, передусім націлюючись на державні установи в Україні. Угруповання, відоме поширенням шкідливого програмного забезпечення Remcos RAT через фішингові кампанії, використовує такі тактики, як видавання себе за Службу безпеки України. Під час попередніх атак група надсилала електронні листи зі шкідливими вкладеннями. UAC-0050 має зв’язки з іншими хакерськими групами, зокрема з UAC-0096, і використовує інструменти віддаленого адміністрування, такі як RemoteUtilities. Вважається, що основним мотивом їхніх атак є шпигунство.

Перевірте, наскільки добре ваша компанія захищена від фішингових схем, замовивши оцінку зрілості кібербезпеки в DigVel.