Агентства з кібербезпеки США та ще дванадцяти країн оприлюднили спільне попередження: хакери, повʼязані з російською федеральною службою безпеки (ФСБ), атакують вразливі та неправильно налаштовані маршрутизатори, щоб проникати в мережі обʼєктів критичної інфраструктури по всьому світу.

Спільне попередження, підготовлене АНБ, ФБР та CISA разом із 16 іншими відомствами з Австралії, Великої Британії, Італії, Канади, Нової Зеландії, Естонії, Фінляндії, Франції, Чехії, Данії, Польщі та Швеції, повʼязує атаки з хакерами «Центру 16» ФСБ.

Це угруповання (відоме також як Berserk Bear, Energetic Bear, Crouching Yeti, Dragonfly, Ghost Blizzard і Static Tundra) сканує підключені до інтернету діапазони IP-адрес у пошуках маршрутизаторів, які приймають стандартні або поширені рядки автентифікації SNMP. Виявивши такі пристрої, зловмисники надсилають команди з підроблених IP-адрес, змушують обладнання копіювати власні конфігураційні файли та викачують їх через протокол TFTP на підконтрольні сервери.

Ще в серпні 2025 року ФБР попереджало, що це саме угруповання з листопада 2021 року атакує критичну інфраструктуру, експлуатуючи критичну вразливість CVE-2018-0171 у функції Smart Install програмного забезпечення Cisco IOS та Cisco IOS XE.

Під найбільшим ризиком — енергетика, звʼязок, оборонно-промисловий комплекс, охорона здоровʼя, фінансові послуги, а також державні установи, насамперед на регіональному та місцевому рівнях.

«Центр 16 […] шукає вразливі маршрутизатори, скануючи інтернет у пошуках пристроїв, які досі використовують стандартні або слабкі паролі та рядки спільноти протоколу SNMP», — попередив у понеділок Національний центр кібербезпеки Великої Британії (NCSC). Хоча SNMP-сканування залишається основним методом угруповання, воно також використовує загальновідомі вразливості пристроїв Cisco, функції Cisco Smart Install (SMI) та вебпорталів керування, щоб отримувати контроль над мережевим обладнанням.

Того ж дня Велика Британія разом із державами ЄС офіційно атрибутувала «Центру 16» ФСБ грудневу атаку 2025 року на енергосистему Польщі — у разі успіху вона могла б залишити без електроенергії пів мільйона людей.

Автори попередження також надали рекомендації, які допоможуть захисникам мереж протистояти цим атакам:

• перейти на SNMPv3 і вимкнути застарілі версії SNMPv1 та SNMPv2;
• вимкнути функцію Cisco Smart Install на всіх пристроях;
• встановити надійні унікальні паролі для локальних облікових записів мережевого обладнання;
• блокувати трафік TFTP і SNMP на межових міжмережевих екранах;
• своєчасно оновлювати програмне забезпечення та прошивки;
• замінити пристрої, підтримку яких виробник уже завершив.

Публікація попередження стала продовженням міжнародної правоохоронної операції, яка знешкодила FrostArmada — окрему кампанію, яку приписують угрупованню APT28 (підрозділ російської військової розвідки, повʼязаний із частиною 26165 ГРУ; відоме також як Fancy Bear і Forest Blizzard). Станом на грудень 2025 року ця кампанія охопила 18 000 маршрутизаторів у 120 країнах.

За даними Black Lotus Labs (дослідницький підрозділ Lumen) та Microsoft, хакери змінювали налаштування DNS на скомпрометованих маршрутизаторах MikroTik і TP-Link для дому та малого офісу (SOHO), перенаправляючи трафік автентифікації на підконтрольні сервери та викрадаючи логіни Microsoft 365 і токени OAuth.

У межах санкціонованої судом операції за підтримки Міністерства юстиції США, уряду Польщі та кількох компаній із кібербезпеки ФБР дистанційно видалило шкідливі DNS-налаштування зі скомпрометованих маршрутизаторів і змусило їх підключатися до легітимних DNS-резолверів.

Ця стаття США та 12 країн-союзниць попереджають про російські кібератаки на критичну інфраструктуру раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Європейський Союз і Велика Британія спільно запровадили санкції проти десятків російських осіб та організацій, звинувативши росію в координації мережі хакерських угруповань, відповідальних за атаки по всій Європі.

Рада Європейського Союзу оголосила про санкції проти девʼяти осіб і чотирьох організацій, серед яких — офіцери російської військової розвідки (ГРУ) та кіберзлочинці. Велика Британія окремо запровадила санкції проти 24 осіб та організацій, зокрема високопоставлених представників ГРУ Вʼячеслава Стафєєва, Івана Сеніна та Івана Касьяненка, які, за даними офіційних осіб, керували кібер- і гібридними операціями.

Британія також наклала санкції на працівників компанії IMPULS, яку звинувачують у вербуванні хакерів із російських університетів, а також на осіб, повʼязаних зі шкідливим ПЗ Lumma Stealer: за даними британської влади, лише за пів року від нього постраждали щонайменше 2100 жертв у країні. Крім того, під обмеження потрапили десять осіб, повʼязаних із медіаресурсом Rybar LLC, — за поширення антиукраїнських наративів та ймовірне втручання у вибори в Молдові та Вірменії.

Рада ЄС також публічно ідентифікувала 16-й Центр Федеральної служби безпеки (ФСБ) росії як структуру, що контролює низку кіберзагрозних угруповань, зокрема сумнозвісну хакерську групу Turla.

За даними офіційних осіб, підрозділ роками атакував урядові мережі та критичну інфраструктуру Франції, Німеччини, Польщі, Кіпру, Нідерландів, Австрії, Словаччини, Румунії та Фінляндії, а кампанії кібершпигунства проти урядових і оборонних цілей веде з 2010 року.

Хакерів Turla також повʼязують із нещодавньою невдалою атакою на критичну інфраструктуру Польщі, зокрема на обʼєкти енергосистеми — теплоелектроцентралі. За оцінками польської влади, у разі успіху атака могла б залишити без електроенергії близько 500 000 людей посеред зими.

«Кіберзлочинці, самопроголошені хактивісти та приватні компанії, повʼязані з росією, зокрема субʼєкти, що діють за її вказівками, під її керівництвом чи контролем, також здійснювали, уможливлювали та підтримували широкий спектр зловмисних дій. Ми рішуче засуджуємо поведінку росії та зловживання цією кіберекосистемою, спрямовані проти публічних сервісів і критичної інфраструктури, що спричиняють збої та фінансові збитки», — заявили в Раді ЄС.

«У відповідь на зловмисну діяльність ЄС також запроваджує обмежувальні заходи проти девʼяти осіб і чотирьох організацій. Ці санкції охоплюють офіцерів розвідки ГРУ, а також кіберзлочинців, самопроголошених хактивістів і приватні компанії, які долучаються до зусиль росії з дестабілізації ЄС, його держав-членів та міжнародних партнерів».

Нагадаємо, наприкінці грудня зловмисники атакували польську енергосистему, зокрема дві теплоелектроцентралі та систему керування відновлюваною енергетикою, однак спричинити відключення електроенергії їм не вдалося. Дослідники ESET згодом повʼязали інцидент із підтримуваним російською державою угрупованням Sandworm, яке намагалося розгорнути деструктивне шкідливе ПЗ DynoWiper для знищення даних на скомпрометованих пристроях.

Нещодавно Польща також заблокувала кібератаку на ІТ-інфраструктуру Національного центру ядерних досліджень (NCBJ) — головного державного інституту країни, що спеціалізується на ядерній фізиці, реакторних технологіях і фізиці елементарних частинок.

Нинішні санкції зʼявилися невдовзі після січневої пропозиції Європейської комісії щодо нового кібербезпекового законодавства, покликаного посилити захист від кіберзлочинності та підтримуваних державами угруповань, які атакують критичну інфраструктуру Європи.

Ця стаття ЄС і Велика Британія запровадили санкції проти російських військових хакерів за кібератаки раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Вночі 19.01.2021 було здійснено масову розсилку державними установами України фішингових електронних листів начебто від Адміністрації Держспецзв’язку.

Про це йдеться у повідомленні CERT-UA.

Листи відправлялись з поштової скриньки zapros@dsszzi.gov.ua. Такої поштової скриньки та підрозділу “департамент перевірок” в Держспецзв’язку не існує, ім’я відправника було підмінено, наголошують в урядовій установі.

Тема листа: “Від: АДМІНІСТРАЦІЯ ДЕРЖСПЕЦЗВ’ЯЗКУ”.

Усі листи відправлялися з ІР-адреси 212.44.151[.]60, яка знаходиться в Російській Федерації.

Фішингові листи містять прикріплений файл з архівом, в якому знаходиться програмне забезпечення для віддаленого доступу до комп’ютерів жертв.

Урядова команда реагування на комп’ютерні надзвичайні події України у разі виявлення зазначених листів просить ТЕРМІНОВО повідомляти CERT-UA на пошту cert@cert.gov.ua.

Індикатори компрометації:

email:
zapros@dsszzi.gov.ua

email_subject:
«Від: АДМІНІСТРАЦІЯ ДЕРЖСПЕЦЗВ’ЯЗКУ»

File:
SHA-1: F55357DD19182889C22CC72D608BADF6A02E2679 (Електронний запит.rar)
SHA-1: 0FA82EE93797C30D21BE812591095711DE67DC2D (Електронний запит.rar)
SHA-1: 5A9D6B1FCDAF4B2818A6EECA4F1C16A5C24DD9CF (installer.exe)
SHA-1: E6F61438FCD4C790E2EC9664948363407DA17D51 (killself.bat)
SHA-1: 893630944F020FFF0E700160402615D049716A51 (host_news_mod_mod.msi)

С2:
hХХp://sv.symcd[.]com/MFAwTjBMMEowSDAJBgUrDgMCGgUABBQe6LNDJdqx%2BJOp7hVgTeaGFJ%2FCQgQUljtT8Hkzl699g%2B8uK8zKt4YecmYCDygQhZNRsIkG0AKTwJolWg%3D%3D

hХХp://s2.symcb[.]com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBS56bKHAoUD%2BOyl%2B0LhPg9JxyQm4gQUf9Nlp8Ld7LvwMAnzQzn6Aq8zMTMCED141%2Fl2SWCyYX308B7Khio%3D
hХХp://rutils[.]com/utils/inet_id_notify.php

Domain:
s2.symcb[.]com
sv.symcd[.]com
rutils[.]com

IP:
23.46.123[.]27
212.44.151[.]60

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Як використовувати “Швидкі команди” на Apple Watch? – ІНСТРУКЦІЯ

Як змінити обліковий запис Google за замовчуванням на комп’ютері? – ІНСТРУКЦІЯ

Як використовувати Google Duo для здійснення відеодзвінків? – ІНСТРУКЦІЯ

Як додавати, редагувати або видаляти збережені паролі в Microsoft Edge? – ІНСТРУКЦІЯ

Як швидко очистити всі сповіщення на Mac? ІНСТРУКЦІЯ

Нагадаємо, американське розвідувальне співтовариство офіційно звинувачує російських хакерів у зламі SolarWinds. Підозрюють, що російські хакери, які фінансуються державою, зламали ІТ-компанію SolarWinds, яку вони потім використали як стартовий майданчик для проникнення в кілька урядових відомств США

Також дослідники з безпеки виявили нову родину програм-вимагачів, яка націлилася на корпоративні мережі, та попередили, що професійні кіберзлочинці вже вдарили по декількох організаціях за допомогою схеми шифрування файлів.

Окрім цього, браузер Edge буде постійно звіряти інформацію з базами даних про розсекречені логіни і паролі – користувачі отримуватимуть інформацію у разі виявлення діяльності з боку кібершахраїв. Також власникам пристроїв надаватимуть поради, що дозволяють змінити конфіденційні дані з метою збереження високого рівня безпеки.

За останніми даними, один із найбезпечніших месенджерів Signal набуває популярності як в Україні, так і в США. Навіть Ілон Маск підтримав хвилю популярності і порадив користуватися Signal у себе в Твіттері. У чому його переваги, читайте у статті.

Ця стаття Фішинговими листами з Росії намагаються зламати мережі держорганів в Україні раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар