Державна служба спеціального зв’язку та захисту інформації України повідомляє, що Національна команда реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA попереджає: протягом березня – квітня 2026 року значно зросла інтенсивність кібератак, спрямованих на органи місцевого самоврядування та особливо – на заклади охорони здоров'я, зокрема на клінічні лікарні та лікарні екстреної (швидкої) медичної допомоги.
Фахівці встановили, що первинна взаємодія з об'єктом кібератаки здійснюється електронною поштою під виглядом обговорення пропозиції щодо надання гуманітарної допомоги. Під час такого листування зловмисники пропонують перейти за посиланням та завантажити архів з формою для заповнення даних.
Крім того, для підсилення легенди вони також можуть розробляти вебсторінку фейкової організації або реалізовувати завантаження стороннього скрипта з легітимного вебресурсу, вразливого до XSS (Cross Site Scripting).
Запуск файлу із завантаженого архіву врешті призводить до ураження пристроїв шкідливими програмами.
- На одному з етапів довантажується програмний засіб AGINGFLY, який може завантажувати файли, робити знімки екрана, запускати кейлогер та виконувати програмний код і команди.
- Водночас використовується PowerShell-скрипт SILENTLOOP, що забезпечує виконання команд, автооновлення конфігурації та отримання актуальної IP-адреси сервера управління з каналу Telegram.
- Також зловмисники застосовують CHROMELEVATOR для викрадення автентифікаційних даних з інтернет-браузерів та ZAPIXDESK для викрадення даних з месенджера WhatsApp.
- Крім того, виконують розвідку та горизонтальне переміщення локальною мережею. Зокрема, виявлено як примітивні сканери підмереж, так і публічно доступний інструментарій (наприклад, RUSTSCAN) тощо.
Фахівці CERT-UA наголошують, що об'єктами кібератак можуть бути також представники Сил оборони України. У березні від учасника інформаційного обміну надійшло повідомлення щодо розповсюдження у месенджері Signal нібито оновленої версії програмного засобу для операторів FPV "BACHU" у вигляді архіву "bachu.zip". Насправді зі скомпрометованого облікового запису Signal було розіслано архів, запуск виконуваного файлу з якого призводить до ураження програмою AGINGFLY.
Для відстеження пов'язаної активності створено окремий кластер кіберзагроз UAC-0247.
Деталі – на сайті CERT-UA.
