Фейкові листи від «ДТЕК Енерго»: як бухгалтерії захиститися від UAC-0050

Що саме сталося

Держспецзв’язку повідомила 30 жовтня про хвилю шкідливих листів, зафіксовану CERT-UA днем раніше. Зловмисники маскувалися під працівників енергетичної компанії та вимагали погасити нібито наявну заборгованість. Офіційне повідомлення називає ціллю державні установи, однак описаний сценарій важливо знати будь-якій бухгалтерії, що отримує рахунки й претензії електронною поштою. Це попередження про конкретну кібератаку, а не повідомлення про реальний борг конкретного підприємства.

Як працює ланцюг зараження

1. До листа додають PDF-файл із посиланням нібито для сплати боргу за електроенергію.
2. Перехід за посиланням завантажує RAR-архів із хмарного сховища DigitalOcean Spaces.
3. Усередині є ще один захищений RAR-архів і текстовий файл із паролем для його розпакування.
4. Фінальний EXE-файл є саморозпаковуваним архівом і встановлює легітимну програму віддаленого керування LiteManager.
5. LiteManager запускається як системна служба разом із Windows, завдяки чому зловмисники можуть зберігати віддалений доступ до ураженого комп’ютера.

Що зробити до відкриття листа

1. Не переходьте за посиланням із листа й не вводьте пароль для розпакування невідомого архіву.
2. Не використовуйте телефон, домен або посилання з підозрілого повідомлення для перевірки відправника.
3. Відкрийте офіційний застосунок постачальника або самостійно введіть адресу його верифікованого порталу та перевірте рахунок там.
4. Якщо підприємство має окремий канал зв’язку з постачальником, уточніть вимогу через збережений раніше контакт.
5. Передайте оригінал листа ІТ-відділу або відповідальному за кібербезпеку, не пересилаючи небезпечні вкладення іншим працівникам без узгодженого внутрішнього порядку.

Якщо посилання відкрили, але EXE не запускали

Припиніть подальші дії з архівами, закрийте сторінку й повідомте ІТ-відділ або відповідального за безпеку. Передайте час події, адресу відправника, тему листа та інформацію про завантажені файли. Не видаляйте лист до рішення фахівця: він може бути потрібний для аналізу й повідомлення про інцидент. Якщо на сторінці вводили облікові дані, змініть відповідний пароль з іншого, нескомпрометованого пристрою та перевірте активні сесії.

Якщо EXE-файл уже запустили

1. Негайно від’єднайте комп’ютер від інтернету: вимкніть Wi-Fi або від’єднайте мережевий кабель.
2. Не вимикайте навмання засоби захисту й не намагайтеся самостійно видаляти системну службу, якщо це робочий комп’ютер: одразу повідомте ІТ-відділ або адміністратора.
3. З іншого, завідомо безпечного пристрою змініть паролі пошти, банкінгу та інших критичних сервісів, до яких могли отримати доступ із ураженого ПК.
4. Перевірте, чи не використовували на комп’ютері КЕП, токени або інші засоби автентифікації, і виконайте внутрішню процедуру реагування щодо них.
5. Збережіть лист у форматі .eml та відомості про подію для фахівців; про кіберінцидент можна повідомити CERT-UA через офіційний контакт.

Короткий внутрішній протокол для бухгалтерії

Що перевірити керівнику або ІТ-відділу

1. Чи заблоковано запуск виконуваних файлів із користувацьких архівів там, де це не потрібно для роботи.
2. Чи мають працівники зрозумілий канал для повідомлення про підозрілий лист і чи не бояться повідомляти про помилковий клік.
3. Чи зберігаються журнали подій, дані поштового шлюзу й резервні копії, потрібні для аналізу та відновлення.
4. Чи відокремлено повсякденну пошту від критичних операцій із банкінгом, звітністю та електронними підписами настільки, наскільки дозволяє робочий процес.
5. Чи доведено до бухгалтерії ознаки саме цієї кампанії: борг за електроенергію, PDF-посилання, вкладені RAR-архіви, пароль у TXT і фінальний EXE.

Типові помилки

1. Перевіряти борг за посиланням із самого листа замість офіційного порталу.
2. Вважати захищений паролем архів ознакою конфіденційності й безпеки.
3. Запускати EXE-файл, бо в листі використано назву відомої компанії.
4. Пересилати небезпечний файл колегам для перевірки без узгодженого процесу.
5. Продовжувати роботу на комп’ютері після запуску файлу й змінювати паролі на тому самому пристрої.
6. Самостійно застосовувати команди видалення для іншої шкідливої кампанії без підтвердження ІТ-фахівця.