Пропозиція гуманітарної допомоги може виявитись кібератакою: деталі від Держспецзв’язку

Списуємо генератор: покроковий алгоритм

Національна команда реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA попереджає: протягом березня–квітня 2026 року значно зросла інтенсивність кібератак, спрямованих на ОМС та особливо — на заклади охорони здоров’я, зокрема на клінічні лікарні та лікарні екстреної (швидкої) медичної допомоги.

Фахівці встановили, що первинна взаємодія з об’єктом кібератаки здійснюється електронною поштою під виглядом обговорення пропозиції щодо надання гуманітарної допомоги. Під час такого листування зловмисники пропонують перейти за посиланням та завантажити архів з формою для заповнення даних.

Крім того, для підсилення легенди вони також можуть розробляти вебсторінку фейкової організації або реалізовувати завантаження стороннього скрипта з легітимного вебресурсу, вразливого до XSS (Cross Site Scripting).

Запуск файлу із завантаженого архіву врешті призводить до ураження пристроїв шкідливими програмами.

Наодинці з ревізором

• Що ревізори знають про установу ще до початку перевірки
• Що та як перевіряють ревізори в кошторисі установи

На одному з етапів довантажується програмний засіб AGINGFLY, який може завантажувати файли, робити знімки екрана, запускати кейлогер та виконувати програмний код і команди.

Водночас використовується PowerShell-скрипт SILENTLOOP, що забезпечує виконання команд, автооновлення конфігурації та отримання актуальної IP-адреси сервера управління з каналу Telegram.

Також зловмисники застосовують CHROMELEVATOR для викрадення автентифікаційних даних з інтернет-браузерів та ZAPIXDESK для викрадення даних з месенджера WhatsApp.

Крім того, виконують розвідку та горизонтальне переміщення локальною мережею. Зокрема, виявлено як примітивні сканери підмереж, так і публічно доступний інструментарій (наприклад, RUSTSCAN) тощо.

Ви ще не з нами? Саме час це змінити!

Користувачі системи мають доступ до Онлайн-помічника без обмежень за кількістю запитів.

Долучайтеся, чекаємо на вас!

Фахівці CERT-UA наголошують, що об’єктами кібератак можуть бути також представники Сил оборони України. У березні від учасника інформаційного обміну надійшло повідомлення щодо розповсюдження у месенджері Signal нібито оновленої версії програмного засобу для операторів FPV «BACHU» у вигляді архіву «bachu.zip». Насправді зі скомпрометованого облікового запису Signal було розіслано архів, запуск виконуваного файлу з якого призводить до ураження програмою AGINGFLY.

Для відстеження пов’язаної активності створено окремий кластер кіберзагроз UAC-0247.

За інформацією Держспецзв’язку