Місяць кібербезпеки: Як хакери з UAC-0226 викрадають дані розробників військових інновацій та держорганів

     Продовжуючи цикл інформаційних матеріалів до Місяця кібербезпеки, фахівці Національної команди реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA, що діє при Держспецзв’язку, попереджають про діяльність угруповання UAC-0226. Цей кластер кібершпигунського спрямування, активний щонайменше з початку 2025 року, фокусує свої атаки на осередках розвитку військових інновацій, військових формуваннях, правоохоронних органах та органах місцевого самоврядування. 

Актуальний порядок денний як приманка

Первинним вектором проникнення залишаються цілеспрямовані електронні розсилки. Зловмисники ретельно підбирають теми повідомлень, маскуючи їх під найбільш актуальний для українського суспільства порядок денний. Листи можуть містити фішингові приманки, що стосуються питань розмінування, виробництва БПЛА, судових повісток або витягів із реєстру військовозобов’язаних.

Еволюція тактики та експлуатація вразливостей WinRAR

Упродовж першого півріччя 2026 року фахівці зафіксували помітну еволюцію технічного арсеналу угруповання. Якщо раніше базою для атак слугували документи Excel зі шкідливими макросами, то нині хакери перейшли до розсилання захищених паролем архівів. Ці файли експлуатують відому вразливість архіватора WinRAR (CVE-2025-8088). Для закріплення в ураженій системі зловмисники створюють шкідливий ярлик безпосередньо у каталозі автозавантаження.

Викрадач GIFTEDCROOK та розширення його можливостей

Незмінним інструментом ворожих хакерів залишається програма-викрадач GIFTEDCROOK. За останній час її функціонал суттєво розширився: окрім викрадення даних із браузерів, шкідливе програмне забезпечення тепер здатне вилучати файли з каталогів профілю користувача. Водночас змінився механізм ексфільтрації – замість передачі вкраденої інформації через месенджер Telegram хакери почали надсилати її безпосередньо на власні сервери управління.

Фахівці Держспецзв’язку нагадують, що захист від кібершпигунства вимагає комплексного підходу та уважності. Вкрай важливо своєчасно оновлювати програмне забезпечення, зокрема програми-архіватори, для усунення відомих вразливостей.

Користувачам слід критично оцінювати електронні листи на чутливі теми, не відкривати підозрілі архіви та не використовувати паролі, вказані безпосередньо в тексті неперевіреного повідомлення. Також ІТ-адміністраторам варто регулярно перевіряти робочі станції на наявність несанкціонованих об’єктів у каталогах автозавантаження та моніторити мережевий трафік на предмет підозрілих з’єднань.