Хакери атакують державні організації під виглядом сертифікатів від Prometheus

Національна команда реагування на кіберінциденти CERT-UA, що діє при Держспецзв’язку, зафіксувала нову хвилю кібератак на державні установи України.

За даними фахівців, атаки здійснює угруповання UAC-0057, яке використовує фішингові листи, замасковані під повідомлення про успішне завершення курсів на освітній платформі Prometheus.

Як працює схема атаки

Зловмисники надсилають електронні листи нібито від платформи Prometheus із темою про сформований сертифікат.

Для цього використовуються підроблені адреси, зокрема:

• certificates@prometheus.com.ua

До листа додається PDF-документ, який імітує офіційне повідомлення платформи.

Усередині PDF-файлу міститься посилання, що часто веде на домени в зоні .icu. Після переходу за посиланням на комп’ютер завантажується ZIP-архів із шкідливим JavaScript-файлом.

Яка небезпека

Запуск JavaScript-файлу розпочинає процес зараження системи.

На фінальному етапі атаки на пристрій жертви може бути встановлено компонент фреймворку Cobalt Strike, який дозволяє хакерам:

• отримати віддалений доступ до комп’ютера;
• керувати системою;
• викрадати дані;
• використовувати пристрій для подальших атак.

Інфраструктуру управління зловмисники приховують через сервіси Cloudflare.

Кого атакують

За інформацією CERT-UA, основною ціллю атак є державні організації.

При цьому для розсилки фішингових листів хакери нерідко використовують уже скомпрометовані облікові записи українських підприємств та установ.

Що рекомендує CERT-UA

Фахівці з кібербезпеки рекомендують системним адміністраторам:

• обмежити запуск wscript.exe для звичайних користувачів;
• посилити контроль за вкладеннями в електронній пошті;
• перевіряти домени та адреси відправників;
• блокувати підозрілі посилання та файли.

Працівникам також радять не відкривати сумнівні вкладення та не переходити за посиланнями навіть у PDF-документах.

Висновок

Нова хвиля фішингових атак демонструє активне використання зловмисниками тематики онлайн-навчання та електронних сертифікатів для зараження державних систем шкідливим програмним забезпеченням.

CERT-UA закликає установи посилити кіберзахист та проводити додаткове навчання працівників щодо правил цифрової безпеки.