Перелік кіберзагроз та вразливостей

Зламати людину, а не систему: як еволюціонувала соціальна інженерія і як не потрапити у пастку

Ще кілька років тому фішинговий лист можна було впізнати за кострубатою мовою, підозрілим відправником і банальним закликом «терміново оновіть пароль». Сьогодні це явище суттєво видозмінилося. Захисні системи навчилися відбивати автоматизовані атаки настільки ефективно, що зловмисникам стало вигідніше й дешевше не зламувати код, а зламувати людину – її довіру, втому, страх або бажання допомогти. Кіберзлочинність стала точнішою: атаки вже не масові: вони персональні.

Згідно з результатами галузевих досліджень елементи соціальної інженерії наявні у переважній більшості кібератак у світі, а людський фактор так чи інакше фігурує в основі більшості витоків даних. Це не статистична цікавинка – це діагноз галузі. Держспецзв’язку пояснює, чому класичний фішинг поступився місцем витонченим психологічним сценаріям, як сьогодні працюють зловмисники і що можна протиставити маніпуляції на рівні звичайної щоденної обачності.

Чому ми віримо обманщикам

В основі будь-якої соціоінженерної атаки лежить не технологія, а психологія. Зловмисник не намагається обійти файрвол – він намагається обійти критичне мислення конкретної людини, і робить це через кілька перевірених важелів.

Перший – авторитет. Повідомлення нібито надходить від керівника, банку, податкової служби чи служби безпеки, і сам статус відправника присипляє пильність. Другий – штучно створений дефіцит часу: жертву ставлять в умови, коли рішення треба ухвалити негайно, «інакше рахунок заблокують» або «доступ буде втрачено». Третій – звичайна людська готовність допомогти або скористатися вигодою: пропозиція гарної роботи, несподіваної премії чи прохання «підказати» щось колезі.

Спільний знаменник у всіх трьох випадках – стан жертви в момент атаки. Коли людина втомлена, поспішає або перебуває у стресі, її здатність до критичної оцінки різко падає. Саме в цю мить, а не в момент технічного зламу, і вирішується доля атаки.

Нове покоління сценаріїв
«Співбесіда мрії» як вектор компрометації

Один із найпоказовіших прикладів останнього часу – активність російського кластера кіберзагроз UAC-0145, пов’язаного з відомим угрупованням Sandworm (APT44). Зловмисники цілеспрямовано вивчають резюме українських системних адміністраторів та ІТ-фахівців на сайтах пошуку роботи, а потім вибудовують багатоетапну легенду.

Кандидату пропонують участь у міжнародному проєкті, спілкування переноситься в чат і Telegram, а згодом проводиться цілком реальна відеоспівбесіда в Zoom англійською мовою – з живим інтерв’юером на іншому кінці. Довіра сформована, і саме тоді надходить «тестове завдання»: для його виконання нібито потрібно підключитися до корпоративної мережі через VPN. Коли стандартне підключення закономірно видає помилку, кандидату люб’язно пропонують встановити модифікований клієнт – наприклад, під назвою «SopraVPN», усередині якого захований шкідливий код. Результат: зловмисники отримують контроль над робочою станцією фахівця, а через неї – доступ до систем компаній, де він працює чи планує працювати.

Голос і обличчя, яким більше не можна довіряти

Поява генеративного штучного інтелекту прибрала останній надійний маркер підробки – мовні помилки. Тексти шахраїв тепер бездоганні стилістично і граматично. Але більш тривожить інше: технологія синтезу голосу й відео вже дає змогу відтворювати конкретних людей у реальному часі.

Показовий приклад – інцидент у міжнародній компанії Arup, де співробітник фінансового відділу перевів шахраям понад 25 мільйонів доларів після групового відеодзвінка. Усі «керівники» і «колеги» на екрані виявилися дипфейками, згенерованими штучним інтелектом. Історія важлива не як курйоз, а як демонстрація того, що навіть побачити й почути співрозмовника на власні очі більше не є достатнім доказом його справжності.

Нестандартні канали атаки

Зловмисники дедалі активніше виходять за межі електронної пошти. Quishing – фішинг через QR-коди – змушує жертву сканувати шкідливе посилання власним смартфоном, де зазвичай немає корпоративних засобів захисту. Vishing, тобто голосовий фішинг, імітує дзвінок від служби підтримки чи банку і статистично дає зловмисникам вищий відсоток успіху, ніж класичний лист.

Окремо згадаємо виснаження багатофакторної автентифікації (MFA fatigue): якщо пароль користувача вже скомпрометований, зловмисник засипає його телефон push-запитами на підтвердження входу, часто вночі. Після кількох десятків сповіщень поспіль людина натискає «Схвалити» не тому, що повірила, а тому, що хоче, щоб сповіщення нарешті припинилися, – і цим відкриває двері в систему.

Українська специфіка: війна змінює мішені

В умовах повномасштабної війни соціальна інженерія набула для України особливої ваги. За останній рік команда CERT-UA зафіксувала подвоєння кількості фішингових інцидентів. Логіка ворожих груп змінилася: пряме «лобове» проникнення на сервери стає дедалі рідшим сценарієм, натомість пріоритетом стає здобуття довіри конкретних людей для прихованого кібершпигунства. Основними цілями залишаються органи державної влади, сили оборони, підприємства критичної інфраструктури та ІТ-сектор.

Що можна протиставити маніпуляції

Технічний захист залишається необхідною, але вже недостатньою умовою безпеки. Головний рубіж оборони сьогодні – усвідомлена поведінка кожної людини.

Особиста цифрова гігієна:

• Правило паузи. Якщо повідомлення чи дзвінок тисне на терміновість, лякає або обіцяє несподівану вигоду – це сигнал зупинитися. Поспіх завжди грає на боці зловмисника.
• Перевірка іншим каналом. Якщо «керівник» або «колега» у месенджері раптово просить переказати кошти, передати пароль чи змінити реквізити – зателефонуйте цій людині за відомим вам номером або зв’яжіться особисто, а не через той канал, звідки надійшло прохання.
• Обережність із тестовими завданнями та сторонніми утилітами. Не встановлюйте незнайомі VPN-клієнти, скрипти чи програми від малознайомих контактів, навіть якщо вони представляються потенційним роботодавцем.
• Пильність до QR-кодів із ненадійних джерел – листів, оголошень, флаєрів.

Для організацій та ІТ-підрозділів:

• Доступ до корпоративних ресурсів – лише з керованих пристроїв (managed devices) із налаштованими політиками безпеки і системами моніторингу кінцевих точок (EDR).
• Перехід на автентифікацію, стійку до фішингу: апаратні FIDO2-ключі або режим зіставлення чисел (number matching) замість простих push-підтверджень чи SMS-кодів.
• Культура без покарань за помилку. Співробітник, який перейшов за підозрілим посиланням чи ввів пароль на фальшивій сторінці, має повідомити про це негайно і без страху осуду. Саме швидкість реагування дає фахівцям безпеки шанс нейтралізувати загрозу до того, як зловмисники закріпляться в системі.

Кібербезпека перестала бути виключно питанням міжмережевих екранів і криптографічних алгоритмів. Її нова вимога – уважність, критичне мислення і звичка ставити під сумнів навіть те, що виглядає, звучить і поводиться цілком переконливо. Ці прості звички спроможні знешкодити навіть найбільш витончені сценарії ворожих маніпуляцій.

Паролі більше не крадуть: як змінився фішинг і діють сучасні шахраї

Ще кілька років тому кібербезпека зводилася до простого правила: не відкривайте підозрілі листи, не переходьте за дивними посиланнями і нікому не повідомляйте пароль. Сьогодні цього вже недостатньо. Про те, як змінився фішинг розповів в колонці Speka.ua. засновник охоронного холдингу SHERIFF Дмитро Стрижов.

Cучасний фішинг

Саме тому сучасний фішинг став набагато небезпечнішим. Він більше не виглядає як погано перекладений лист із нігерійською спадщиною чи повідомлення про виграш автомобіля. Навпаки, він виглядає професійно, переконливо і часто використовує абсолютно легітимні сервіси Microsoft, Google або інших великих компаній. Для бізнесу це означає одну просту річ: навіть співробітник, який добре знає правила кібергігієни, може стати жертвою сучасної атаки.

Чому фішинг змінився

Кіберзлочинці завжди йдуть шляхом найменшого опору. Колись достатньо було викрасти пароль. Потім компанії почали впроваджувати двофакторну автентифікацію (MFA), менеджери паролів і сучасні системи захисту електронної пошти. Старі методи стали працювати значно гірше. Тому злочинці змінили тактику.

Замість того щоб боротися із захисними системами, вони почали використовувати їх у власних інтересах. Сьогодні вони не намагаються обдурити комп’ютер, а намагаються переконати людину. І саме людина добровільно підтверджує авторизацію, сканує QR-код або запускає команду, думаючи, що виконує вимоги служби підтримки.

QR-фішинг: коли телефон стає слабкою ланкою

Майже кожен із нас звик сканувати QR-коди.

• Меню ресторану.
• Оплата паркування.
• Квитки.
• Банківські застосунки.

Саме тому QR-код викликає набагато більше довіри, ніж звичайне посилання. Цим активно користуються шахраї.

Уявіть ситуацію. Працівник отримує електронний лист від нібито IT-відділу компанії. «Через оновлення політик безпеки відскануйте QR-код для повторної авторизації Microsoft 365.» Людина дістає телефон. Сканує. На смартфоні відкривається сторінка, яка зовні майже не відрізняється від справжньої.

Через кілька секунд обліковий запис уже знаходиться під контролем зловмисників. Особливість QR-фішингу полягає в тому, що він обходить багато традиційних механізмів перевірки електронної пошти. Захисні системи добре аналізують посилання, але значно гірше — зображення із вбудованими QR-кодами. Саме тому цей тип атак стрімко набирає популярності.

ClickFix: найнебезпечніша атака, у якій все робить сама жертва

Якщо QR-фішинг використовує довіру до смартфона, то ClickFix використовує довіру до інструкцій.

Уявіть, що ви відкриваєте документ. Замість нього бачите повідомлення: «Для правильного відкриття файлу необхідно виконати кілька дій.» Далі дуже детальна покрокова інструкція. Натиснути Windows + R. Вставити команду. Підтвердити виконання. Все виглядає логічно. Людина впевнена, що усуває технічну проблему. Насправді ж вона власноруч запускає шкідливий код на своєму комп’ютері. Саме це і є головною небезпекою ClickFix.

• Антивірус нічого не пропустив.
• Хакер нічого не зламав.
• Користувач сам виконав всі необхідні дії.

Device Code phishing: коли навіть пароль ніхто не краде

Ця техніка сьогодні вважається однією з найнебезпечніших. Ось чому це так. У цій схемі користувач заходить… на справжній сайт Microsoft. Не на підроблений. Не на фейкову сторінку. Саме тому навіть уважні співробітники часто не бачать жодних ознак шахрайства.

Зловмисник переконує людину ввести спеціальний код підтвердження входу. Після цього користувач проходить звичайну двофакторну автентифікацію. Все виглядає абсолютно легітимно. Але в результаті доступ до корпоративного акаунта отримує не власник, а зловмисник. Парадокс полягає в тому, що пароль ніхто навіть не бачив.

• Його не викрали.
• Його не підбирали.
• Його взагалі не використовували.

Чому штучний інтелект зробив проблему ще серйознішою

Ще кілька років тому фішинговий лист було відносно легко впізнати. Граматичні помилки. Дивний стиль. Незрозумілі формулювання. Сьогодні генеративний штучний інтелект практично прибрав ці ознаки.

Сучасні інструменти можуть за кілька хвилин написати бездоганний лист українською мовою, знайти інформацію про компанію, вивчити стиль спілкування керівника та створити повідомлення, яке виглядатиме абсолютно природно.

Фактично штучний інтелект став персональним помічником не лише для бізнесу, а й для кіберзлочинців. Саме тому кількість успішних атак зростає навіть попри розвиток засобів захисту.

Проблема стосується кожної компанії

Багато керівників досі вважають, що їхній бізнес нецікавий хакерам. Це одна з найнебезпечніших ілюзій. Сучасні фішингові кампанії практично повністю автоматизовані. Їх не створюють під конкретну компанію. Вони працюють масово.

Тисячі листів.

Тисячі QR-кодів.

Тисячі повідомлень.

Злочинці не обирають жертву.

Вони чекають, поки хтось один натисне потрібну кнопку.

І дуже часто цього достатньо, щоб отримати доступ до корпоративної пошти, фінансових документів, CRM-системи або внутрішніх чатів.

Що робити бізнесу

Сучасний фішинг уже неможливо зупинити лише антивірусом або двофакторною автентифікацією.

Потрібен інший підхід.

Регулярне навчання співробітників має враховувати нові сценарії атак, а не лише класичні листи з підозрілими посиланнями. Не менш важливо постійно контролювати підозрілі входи до корпоративних акаунтів, перевіряти нетипові авторизації та швидко реагувати на будь-які ознаки компрометації.

І найголовніше — компанія повинна бути готовою до інциденту ще до того, як він станеться. Адже в сучасному світі питання вже не в тому, чи спробують атакувати вашу організацію. Питання лише в тому, чи встигнете ви виявити атаку до того, як вона перетвориться на фінансові втрати, витік даних або зупинку бізнесу.

Фішинг більше не краде паролі.

Він краде довіру.

А довіра сьогодні стала найціннішою мішенню для кіберзлочинців.

Якщо ви підозрюєте, що компанія вже стала жертвою сучасного фішингу

QR-фішинг, ClickFix або Device Code phishing часто не залишають очевидних слідів. Працівник може навіть не підозрювати, що надав доступ до корпоративного середовища, а зловмисник — непомітно працювати з поштою, документами чи хмарними сервісами ще кілька днів або тижнів.

Саме тому після будь-якої підозри важливо не лише змінити пароль, а й перевірити активні сесії, токени доступу, журнали автентифікації та можливі ознаки прихованої присутності в інфраструктурі.

Хто цікавився БпЛА-перехоплювачами «Besomar» та заходив на сайт besomar.org – НІЧОГО ЗВІДТИ НЕ ЗАВАНТАЖУЙТЕ! Сайт виявився фішинговим ресурсом російських спецслужб для зламів пристроїв військових. При спробі скачати ТТХ під виглядом документації підсовують архів Besomar_documentation.rar.
Прогнав цей архів через глибокий аналіз VirusTotal, сидить троян VBA:Gamaredon-Q та експлойт під WinRAR.
Працює вороже угруповання UAC-0010 (Gamaredon / ФСБ РФ).
Мета: Викрадення сесій Telegram/Signal, паролів, зняття геопозицій та доступ до ваших документів.
Що робити:
Не переходьте на сайт besomar.org.
Якщо вже встигли завантажити цей RAR-архів – в жодному разі не розпаковуйте і не запускайте його вміст. Негайно видаліть.
Якщо вже запустили – відключайте ПК від мережі, зносьте систему або передайте пристрій спеціалістам.

ОСНОВИ КІБЕРБЕЗПЕКИ: ЯК ВІЙСЬКОВОСЛУЖБОВЦЯМ ЗАХИСТИТИСЯ ВІД ВОРОЖИХ КІБЕРАТАК

На сучасному полі бою цифрові технології стали невід’ємною частиною військової справи. Смартфони, планшети та інші пристрої з доступом до інтернету використовуються повсюдно, навіть на передовій. У таких умовах належний рівень кібербезпеки стає критично важливим для захисту не лише особистої інформації, але й даних всього підрозділу.

Ворожі кіберпідрозділи цілеспрямовано полюють за даними українських військових. Вони постійно вдосконалюють методи атак, розробляють нове шкідливе програмне забезпечення та вигадують витончені схеми соціальної інженерії. Їхня мета – отримати доступ до цінної інформації, яка може зашкодити виконанню бойових завдань та поставити під загрозу життя військовослужбовців.

«Цифрова гігієна має бути щоденною практикою, як от чищення зброї чи перевірка спорядження. Критичне ставлення до підозрілих повідомлень, регулярне оновлення програмного забезпечення та використання надійних паролів – усе це базові навички, які допоможуть уникнути більшості кіберзагроз», – зазначила заступниця міністра оборони України з питань цифровізації Катерина Черногоренко.

Міноборони розповідає про найпоширеніші методи кібератак на військових, як їх розпізнати, убезпечити себе та близьких, а також куди повідомляти про кіберінциденти.

Що треба знати про кібербезпеку?

Кібербезпека – це набір правил та дій, які допоможуть захистити вашу персональну інформацію та пристрої від зловмисників. Вона включає як технологічні рішення, так і правильну поведінку користувачів у цифровому просторі.

У військовому контексті кібербезпека набуває особливого значення. Витік даних про дислокацію підрозділів, маршрути пересування чи наявні системи озброєння може призвести до незворотних наслідків. Тому розуміння основних принципів кіберзахисту є обов’язковим для кожного військовослужбовця.

Важливо розуміти, що ворог постійно адаптується та вдосконалює свої методи. Тому навіть досвідчені користувачі можуть стати жертвами кібератак. Ключовим фактором безпеки є постійна пильність та здатність критично оцінювати будь-яку інформацію, отриману через цифрові канали зв’язку.

Фішинг: як не потрапити на гачок кібершахраїв

Фішинг – це один з найпоширеніших видів кібератак, спрямований на отримання конфіденційної інформації через маніпуляції та обман. Назва цього методу походить від англійського слова fishing (рибальство), що влучно відображає його суть: зловмисники «закидують приманку» і чекають, поки жертва «клюне».

Типовий сценарій фішингової атаки на військовослужбовця виглядає так: ви отримуєте повідомлення нібито від начальника або військового керівництва, які вимагають термінових дій: «Необхідно терміново оновити дані в системі DELTA або втратите доступ до акаунту!», «Військова частина готує списки для отримання забезпечення, заповніть анкету», чи «Виявлено несанкціонований доступ до вашого облікового запису, негайно оновіть пароль». Подібні повідомлення можуть надходити й від шахраїв, що маскуються під цивільні установи на кшталт банків чи поштових операторів.

Як правило, такі повідомлення містять посилання на вебсайт, який візуально майже ідентичний оригіналу, але насправді є підробкою. Коли жертва вводить свої дані на такому сайті (логін, пароль, банківські реквізити тощо), ця інформація миттєво потрапляє до зловмисників. Вони можуть використати її для доступу до ваших соціальних мереж, месенджерів або мобільного банкінгу.

Особливо активно ворог намагається зкомпрометувати акаунти месенджерів, якими часто користуються військові. Якщо зловмисник отримає доступ до вашого Signal чи WhatsApp, вони зможуть не лише поширювати фішингові посилання серед ваших контактів, але й отримати доступ до групових чатів, де обговорюється чутлива інформація.

Щоб захиститися від фішингових атак:

• завжди перевіряйте URL-адресу вебсайту перед введенням особистих даних. Звертайте увагу на дрібні зміни в написанні (наприклад «diia.org.ua» замість «diia.gov.ua»)
• не переходьте за посиланнями з підозрілих повідомлень. Краще відкрити офіційний сайт сервісу вручну через браузер
• якщо отримали тривожне повідомлення від банку чи держустанови, зв’яжіться з ними напряму через офіційні контакти
• ніколи не скануйте QR-коди з непідтверджених джерел, щоб не втратити доступ до акаунтів месенджерів

Шкідливе програмне забезпечення: невидимі загрози

Шкідливе програмне забезпечення (віруси) – це спеціальні програми, створені для пошкодження, викрадення даних або несанкціонованого доступу до пристроїв. На відміну від фішингу, який вимагає активних дій від користувача, вірус може працювати автономно і часто залишається непоміченим протягом тривалого часу.

Для військових віруси становлять особливу загрозу, оскільки можуть:

• перехоплювати координати GPS та передавати дані про місцеперебування ворогу
• вмикати мікрофон та камеру без відома користувача
• копіювати фотографії, повідомлення та контакти
• отримувати доступ до файлів, які можуть мати тактичну інформацію.

Поширення шкідливого ПЗ часто відбувається через фішингові повідомлення з вкладеннями та заражені флешнакопичувачі. Навіть звичайні документи Word чи PDF, таблиці Excel, картинки та навіть відео можуть мати шкідливий код. Інший поширений метод – підроблені застосунки, які маскуються під легітимні програми.

Щоб захиститися від шкідливого ПЗ:

• встановлюйте програми лише з офіційних джерел: App Store, Google Play або офіційні вебсайти розробників
• регулярно оновлюйте операційну систему та застосунки. Більшість оновлень містять виправлення відомих вразливостей
• не відкривайте вкладення від незнайомців. Якщо ви отримали файл від знайомого контакту, але не очікували його – зв’яжіться з відправником альтернативним каналом та переконайтеся в автентичності файлу
• використовуйте надійне антивірусне ПЗ та регулярно проводьте сканування пристроїв.

Безпека паролів: надійний захист від зламу

Надійні паролі є основою цифрової безпеки. Проте багато користувачів нехтують цим аспектом, використовуючи прості комбінації або однакові паролі для різних сервісів. Зловмисники активно використовують ці слабкі місця.

Основні методи компрометації паролів включають:

• автоматизовний злам – зловмисники перебирають паролі або використовують готові списки найпоширеніших комбінацій, що дозволяє їм швидко підібрати правильний варіант
• перехоплення в незахищених мережах – особливо актуально при використанні публічного Wi-Fi
• використання даних з попередніх витоків – якщо ваш пароль викрали з одного сервісу, і ви використовуєте ту саму комбінацію деінде, зловмисники спробують отримати доступ до всіх ваших акаунтів

Військовослужбовцям варто дотримуватися підвищених стандартів захисту паролів:

• створюйте унікальні паролі довжиною від 15 символів, які включають великі й маленькі літери, цифри та спеціальні символи
• не використовуйте один пароль для різних сервісів
• уникайте використання особистої інформації в паролях (дати народження, імена близьких, номери військових частин)
• активуйте двофакторну автентифікацію для всіх важливих акаунтів. Це додатковий рівень захисту, який вимагає вводу додаткового фактора підтвердження – зазвичай код, згенерований у спеціальному застосунку
• використовуйте менеджери паролів на кшталт 1Password чи LastPass для їхнього зберігання та генерації надійних комбінацій

Важливо пам’ятати, що одноразові коди підтвердження ніколи не слід передавати стороннім особам, навіть якщо вони представляються співробітниками банків чи державних установ.

Куди звертатися в разі кіберінциденту

Якщо ви стали жертвою кібератаки або підозрюєте шахрайські дії, важливо негайно повідомити про це відповідні органи. Швидке реагування може допомогти не лише розв’язати проблему, але й запобігти подальшому поширенню загрози.

У разі компрометації особистих даних, не пов’язаних зі службовою діяльністю, слід негайно поміняти паролі та написати заяву до Департаменту кіберполіції Національної поліції за посиланням.

При ураженні службової інформації чи пристрою зверніться до спеціалізованих органів з кібербезпеки. 

Для військовослужбовців Міністерства оборони – Центр реагування на кіберінциденти: 

• Signal: +38 (096) 773-73-70
• E-mail: cert@mil.ua
• АТС-2: 80-861
• Тел.: +38 (044) 427-56-14

Для військовослужбовців Збройних сил України:

• по подіях пов’язаних з операційними системами Windows, MacOS чи Linux звертайтеся до Центру кібернетичної безпеки:
  • Signal: +38 (067) 332-18-91
  • E-mail: csoc@post.mil.gov.ua
• по подіях пов’язаних з Android чи iOS звертайтеся до Центру безпеки інформації:
  • Signal: +38 (050) 270-97-12
  • E-mail: mtd_support@post.mil.gov.ua

У випадку кіберінциденту збережіть усі докази: знімки екрана підозрілих повідомлень, посилання на фішингові сайти, файли зі шкідливим ПЗ. Ця інформація допоможе спеціалістам швидше ідентифікувати загрозу та розробити методи протидії.

Пам’ятайте, що своєчасне повідомлення про кібератаки – це ваш внесок у колективну безпеку. Виявлений вами вектор атаки може використовуватися проти багатьох військовослужбовців, і ваша пильність допоможе захистити не лише вас, але й ваших побратимів.

Як працює схема

Вам телефонують з невідомого номера. Співрозмовник може представитися слідчим, поліцейським, волонтером, вчителем вашої дитини або будь-якою знайомою людиною. Зазвичай повідомляє щось тривожне або термінове, щоб викликати реакцію. Наприклад: “На ваше керівництво відкрито розслідування”.

Після розмови надсилає файл у месенджер (Signal, WhatsApp або Telegram) – нібито “для ознайомлення”.

У чому небезпека

Відкрили файл – отримали вірус. Далі ворог може:

• отримати доступ до пристрою;
• читати повідомлення і копіювати файли;
• викрадати паролі від банківських карток і соцмереж.

Це називається вішинг – коли через дзвінок вас змушують встановити вірус власноруч.

Що робити

• Не відкривайте файлів після підозрілих дзвінків.
• Не переходьте за посиланнями з месенджерів без перевірки.
• Будь-яку “термінову інформацію” перевіряйте через свій підрозділ.

Як захиститися

• Встановіть і оновлюйте антивірус (ESET).
• Використовуйте систему протидії кіберзагрозам (НХ-агент).
• У разі підозри одразу звертайтесь до служби захисту інформації вашого підрозділу.

Отримали підозрілий дзвінок – повідомте фахівців.

Техпідтримка кіберзахисту ЗС України: 15-220 (ЗСУ002) або (62) 27-490 (АТС-2).

Інформацію про кібератаки надали Головне управління зв’язку та кібербезпеки Генштабу ЗСУ (ГУЗ та КБ ГШ ЗСУ) та Головний об’єднаний центр захисту інформації та кібербезпеки в інформаційно-телекомунікаційних системах ЗСУ (ГОЦЗІ та КБ в ІТС ЗСУ).

Лікарні, органи місцевого самоврядування та оператори FPV – у фокусі кластера кіберзагроз UAC-0247 (UAC-0244)

CERT-UA звертає увагу спільноти на те, що активність, описана в цій статті як окремий кластер кіберзагроз UAC-0247, фактично здійснюється особами, діяльність яких раніше відстежувалася за ідентифікатором UAC-0244. Відтак подальше відстеження пов’язаних кампаній здійснюватиметься за ідентифікатором UAC-0244.

Індикатори кіберзагроз, раніше атрибутовані до кластера UAC-0244, наведено в додатку до статті.

Висловлюємо вдячність досліднику M.F. та його команді за високий професіоналізм і обмін інформацією про кіберзагрози.

Загальна інформація

CERT-UA протягом березня-квітня 2026 року зафіксовано інтенсифікацію кібератак у відношенні органів місцевого самоврядування та, насамперед, комунальних закладів охорони здоров’я, зокрема клінічних лікарень та лікарень екстреної (швидкої) медичної допомоги.

Початкова взаємодія з об’єктом кібератаки здійснюється засобами електронної пошти під виглядом обговорення пропозиції щодо надання гуманітарної допомоги, під час якого зловмисник пропонує перейти за посиланням. Для підсилення легенди може бути розроблено вебсторінку фейкової організації (із застосуванням штучного інтелекту) або реалізовано завантаження стороннього скрипта з легітимного вебресурсу, вразливого до XSS (Cross-Site Scripting).

У разі переходу за таким посиланням на комп’ютер завантажується архів, що містить файл-ярлик, відкриття якого призводить до запуску штатного засобу обробки HTA-файлів. Останній звертається до віддаленого вебресурсу та виконує розміщений на ньому HTA-файл, який забезпечує відображення форми-приманки, а також завантаження і запуск EXE-файлу за допомогою запланованого завдання. EXE-файл забезпечує інжектування шелкоду в легітимний процес (наприклад, RuntimeBroker.exe). Водночас в останніх кампаніях зафіксовано використання двоетапного лоадера, другий етап якого реалізовано із застосуванням власного формату виконуваних файлів (із повноцінною підтримкою секцій коду й даних, імпорту функцій із динамічних бібліотек та релокації), а фінальний пейлоад додатково стиснуто й зашифровано. Як стейджери можуть бути використані типовий TCP reverse shell або аналог, класифікований як RAVENSHELL, що забезпечує встановлення TCP-з’єднання із сервером управління, шифрування трафіку з використанням 9-байтового XOR (ключ: “01 01 02 03 74 15 04 FF EE”; під час першого підключення передається XOR-шифроване повідомлення “Connected! “), а також виконання команд за допомогою CMD.

На етапі подальшого закріплення в системі (establishing a foothold) на комп’ютер довантажується програмний засіб AGINGFLY. Паралельно зафіксовано використання PowerShell-скрипта, якому надано ідентифікатор SILENTLOOP, що забезпечує виконання команд, автооновлення конфігурації та отримання актуальної IP-адреси сервера управління з каналу Telegram як основного джерела, а також підтримує резервні механізми визначення адреси сервера C2.

Результати дослідження десятка кіберінцидентів свідчать про те, що зловмисники не лише вживають заходів з викрадення автентифікаційних та інших даних з Інтернет-браузерів із застосуванням CHROMELEVATOR або ж з месенджеру WhatsApp (із застосуванням програмного засобу ZAPIXDESK), а й виконують розвідку та горизонтальне переміщення локальною мережею. Зокрема, виявлено як примітивні сканери підмереж, так і публічно доступний інструментарій, наприклад RUSTSCAN. Для побудови прихованих тунелей можуть використовуватися програмні засоби LIGOLO-NG та CHISEL. В одному з випадків виявлено факт використання майнера XMRIG, представленого у вигляді DLL, що завантажується патченим виконуваним файлом легітимної програми WIREGUARD.

Слід наголосити, що об’єктами кібератак можуть бути також представники Сил оборони України. Так, 10.03.2026 від учасника інформаційного обміну отримано повідомлення щодо розповсюдження через месенджер Signal нібито оновленої версії програмного засобу для операторів FPV “BACHU” у вигляді архіву “bachu.zip”. Натомість згаданий архів містив, зокрема, основний виконуваний файл та DLL-бібліотеку, підвантаження якої під час запуску виконуваного файлу із застосуванням механізму DLL side-loading призводило до запуску на комп’ютері програмного засобу реалізації кіберзагроз AGINGFLY.

Для зниження ймовірності реалізації кіберзагрози достатньо обмежити запуск LNK-, HTA- та JS-файлів, а також легітимних утиліт mshta.exe, powershell.exe і wscript.exe, на необхідності чого неодноразово наголошувалося в контексті скорочення поверхні атаки шляхом застосування штатних механізмів захисту операційної системи.

Для відстеження пов’язаної активності використовується окремий кластер кіберзагроз UAC-0247.

AGINGFLY

Програмний засіб, розроблений із використанням мови програмування C#, основним функціональним призначенням якого є віддалене керування ураженим комп’ютером. Програмний засіб забезпечує виконання команд, завантаження файлів, створення знімків екрана, запуск кейлогера та виконання програмного коду. Комунікація із сервером управління здійснюється за допомогою вебсокетів, при цьому трафік додатково шифрується за алгоритмом AES-CBC зі статичним ключем. Характерною відмінністю AGINGFLY від подібного ШПЗ є відсутність у коді реалізації обробників команд, натомість вони завантажуються із сервера C2 у вигляді вихідного коду та динамічно компілюються.

Графічні зображення:

Рис.1 Приклад ланцюга ураження

Рис.2 Інфікована програма BACHU

Рис.3 Приклад ланцюга ураження (XSS)

Рис.4 Приклад електронної переписки зі зловмисником

Рис.5 Приклад програмного засобу SILENTLOOP

Рис. 6 Інформативний бюлетень