Хакери активізували кібератаки на заклади охорони здоров'я

Урядова команда реагування на комп’ютерні надзвичайні події CERT-UA, що діє при Держспецзв’язку, протягом березня-квітня фіксує інтенсифікацію кібератак у відношенні органів місцевого самоврядування та насамперед комунальних закладів охорони здоров'я, зокрема клінічних лікарень та лікарень екстреної (швидкої) медичної допомоги.

Початкова взаємодія з об'єктом кібератаки здійснюється засобами електронної пошти під виглядом обговорення пропозиції щодо надання гуманітарної допомоги, під час якого зловмисник пропонує перейти за посиланням. Для підсилення легенди може бути розроблено вебсторінку фейкової організації (із застосуванням штучного інтелекту) або реалізовано завантаження стороннього скрипта з легітимного вебресурсу, вразливого до XSS (Cross-Site Scripting).

У разі переходу за таким посиланням на комп’ютер жертви завантажується архів, що містить файл-ярлик, відкриття якого призводить до запуску штатного засобу обробки HTA-файлів. Останній звертається до віддаленого вебресурсу та виконує розміщений там файл, який забезпечує відображення форми-приманки, а також завантаження і запуск EXE-файлу за допомогою запланованого завдання.

Результати дослідження десятка кіберінцидентів свідчать про те, що зловмисники не лише вживають заходів з викрадення автентифікаційних та інших даних з інтернет-браузерів із застосуванням ChromElevator або ж з месенджера WhatsApp (із застосуванням програмного засобу ZapixDesk), а й виконують розвідку та горизонтальне переміщення локальною мережею.

Об’єктами кібератак можуть бути також представники Сил оборони України. Так, 10.03.2026 від учасника інформаційного обміну отримано повідомлення щодо розповсюдження через месенджер Signal нібито оновленої версії програмного засобу для операторів FPV «BACHU» у вигляді архіву «bachu.zip». Натомість згаданий архів містив, зокрема, основний виконуваний файл та DLL-бібліотеку, підвантаження якої під час запуску виконуваного файлу із застосуванням механізму DLL side-loading призводило до запуску на комп’ютері програмного засобу реалізації кіберзагроз Agingfly. Основним призначенням останнього є віддалене керування ураженим комп’ютером.