Актуальні кіберзагрози

Корисна інформація для працівників ХРДВА:

Інформація про актуальні кіберзагрози

Меню користувача:

27.06.2025

Національною командою реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA виявлено факт розповсюдження електронних листів з темою “У Бухгалтерію: НАЗВА ОРГАНІЗАЦІЇ, договір на підпис.” та вкладенням у вигляді PDF-файлу “Документи_на_підпис_M.E.Doc.Бізнес_27.06.2025_XXXXXXXXXX.pdf”, що містить у собі посилання на сервіс 4sync або dropbox на яких розміщено архів “Документи на підпис M.E.Doc.Бізнес_27.06.2025_XXXXXXXX.zip”. До останнього вкладено файли приманки “Договір.pdf” та “Реквізити.docx”, а також два архіви “Платіжне доручення РадаБанк_761_від 27.06.2025.pdf.zip” та “Акт підписаний.pdf.rar”, що містять однойменні ідентичні JS-скрипти. Запуск будь-якого з них призведе до створення і відкриття приманки у вигляді порожнього PDF-файлу “Today_News.pdf” та завантаження й запуску програмного забезпечення для віддаленого управління NetSupport. Персистентність запуску останнього забезпечується шляхом створення запису ‘MyIe’ у гілці реєстру HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Активність здійснюється угрупуванням UAC-0050.

04.03.2025
За наявною інформацією хакерська група Sandworm/Seashell Blizzard (гру рф) почала застосовувати нову техніку, що полягає у використанні прихованих сервісів Tor для віддаленого прихованого доступу до скомпрометованих інформаційно-комунікаційних систем.
Під час реалізації такої загрози зловмисники кожному зі скомпрометованих пристроїв присвоюють унікальне доменне ім’я (.onion), що забезпечує постійний доступ до них у мережі Tor. Таким чином, скомпрометований пристрій створює постійний канал доступу до мережі Tor, являючи собою прихований тунель, який ефективно маскує всі вхідні з’єднання, дозволяючи зловмисникам уникнути фіксації з’єднання з С2.

Детальніше про Tor – у відео

17.01.2025
Урядовою командою реагування на комп’ютерні надзвичайні події України CERT-UA отримано інформацію про непоодинокі випадки спроб підключень до комп’ютерів з використанням програми AnyDesk, нібито, від імені CERT-UA.
Так, невстановлені особи надсилають запити на підключення до AnyDesk під приводом проведення “аудиту безпеки для перевірки рівня захищеності”, використовуючи ім’я “CERT.UA”, логотип CERT-UA та ідентифікатор AnyDesk “1518341498” (може змінюватись).
Детальніше – за посиланням https://cert@cert.gov.ua/article/6282069

16.01.25 на ряд АРМ державної установи надійшов запит у інстальоване на вказаних Арм ПЗ віддаленого доступу Anydesk від імені Урядової команди реагування на компʼютерні надзвичайні події України з ідентифікатором 1518341498. Встановлено що співробітники CERT-UA не надсилали подібних запитів.
Вказана подія являє собою фішингову кібератаку з метою отримання зловмисниками віддаленого доступу до АРМ.
У разі надходження подібних запитів – доступ не надавати та повідомити працівників управління інформаційних технологій Херсонської ОДА та ХРД(В)А.
Додатково наголошуємо щодо виключення (обмеження) використання ПЗ віддаленого доступу на АРМ, які використовуються у службовій діяльності

25.12.24 отримано відомості про здійснення фішиногвої розсилки на телеграм-акаунти працівників органів державної влади Херсонщини.Зокрема, близько 11:30 розіслане повідомлення “Пользователь поделился с вами беслатной подпиской премиум Телеграм до конца 2025 года! Активировать: “https://t.me/gift_premium” Зловмисниками здійснена підміна посилання на: https://itself.itself-energy-battle.mom/connect.my, при переході за яким відкривається віконце з кнопкою “Активировать”. При натисканні на останню, відбувається перехід до https://itself.itself-energy-battle.mom/connect.my/prem, що являє собою фейкову форму входу до акаунту за QR-кодом, в разі відкриття якого додатком “телеграм” зловмисник отримую доступ до акаунту жертви.

Інформація про актуальні кіберзагрози

Меню користувача:

Кібербезпека

Освіта

Цифрові навички