12.10.2026 15:18 4
Місяць кібербезпеки: Як хакери з UAC-0173 атакують нотаріусів та ЦНАПи заради підробки даних у державних реєстрах
Продовжуючи цикл інформаційних матеріалів до Місяця кібербезпеки, фахівці Національної команди реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA, що діє при Держспецзв’язку, розповідають про найактивніші ворожі хакерські угруповання. Одним із таких кластерів залишається UAC-0173, діяльність якого становить серйозну загрозу не лише для конфіденційності, а й для цілісності офіційних даних.
На відміну від зловмисників, які зосереджуються переважно на викраденні інформації чи шпигунстві, головною метою UAC-0173 є отримання прихованого доступу до інформаційних систем для безпосереднього внесення неправдивих відомостей до державних реєстрів.
Саме тому під прицілом хакерів опиняються установи та фахівці, які працюють із критичними даними: приватні нотаріуси, центри надання адміністративних послуг (ЦНАПи), територіальні центри комплектування (ТЦК) та медичні заклади.
Фейкові семінари та небезпечні архіви
Для проникнення в системи хакери використовують ретельно сплановані цільові фішингові кампанії. Наприклад, у типовій схемі приватні нотаріуси отримують електронного листа нібито від регіонального нотаріату. У темі та тексті повідомлення йдеться про проведення важливого профільного семінару.
Лист містить посилання на завантаження матеріалів, яке зловмисники маскують за допомогою популярного сервісу скорочення адрес TinyURL. Перехід за таким посиланням веде на завантаження ZIP-архіву з відомих файлообмінних ресурсів, таких як SendItToYou, YDRAY, SwissTransfer або HiDrive.
Технічні особливості атаки та маскування
Сам архів містить небезпечну пастку: легітимний виконуваний файл та шкідливу DLL-бібліотеку. Коли користувач запускає безпечний на перший погляд файл, спрацьовує техніка DLL Side-Loading – шкідливий код із бібліотеки розшифровується та виконується непомітно для жертви. У результаті цього процесу комп’ютер інфікується програмою віддаленого доступу DarkCrystal RAT, яка передає повний контроль над робочою станцією зловмисникам.
Ще однією спільною рисою сучасних хакерських груп є зловживання легітимними інструментами, і UAC-0173 не є винятком. Для розгортання серверів управління своїм шкідливим програмним забезпеченням та приховування шкідливого трафіку вони активно використовують легітимні платформи, зокрема сервіс ngrok.
Фахівці Держспецзв’язку наголошують на важливості дотримання базових правил кібергігієни серед працівників державного сектору та осіб, які мають доступ до державних реєстрів. Слід бути максимально обережними з листами від невідомих чи навіть знайомих відправників, якщо вони містять несподівані посилання або вкладення.
Важливо уникати переходу за скороченими URL-адресами та завантаження робочих матеріалів із сумнівних файлообмінників. Лише уважність та критичне ставлення до будь-якої вхідної кореспонденції можуть вберегти системи від інфікування та захистити державні дані від незаконного втручання.
Джерело: сайт Державна служба спеціального зв’язку та захисту інформації України
