У месенджері Telegram зафіксовано розповсюдження шкідливих повідомлень, нібито від технічної підтримки застосунку для призовників, військовозобов’язаних та резервістів «Резерв+». Про це повідомили у Держспецзв’язку.
Офіційна версія
Згідно з даними урядової команди CERT-UA, з облікового запису @reserveplusbot почали надходити повідомлення з проханням встановити «спеціальне програмне забезпечення» через архів RESERVPLUS.zip. Розслідування показало, що цей архів містив шкідливе програмне забезпечення Meduza Stealer, яке викрадає файли з пристроїв користувачів.
Зазначений Telegram-бот було створено під виглядом офіційного каналу технічної підтримки «Резерв+», який ще в травні 2024 року згадувався як один із офіційних контактів.
Наразі команда CERT-UA працює над мінімізацією загрози, і триває розслідування деталей цього інциденту.
Неофіційна версія
В той же час, фахівець з кібербезпеки та екс-заступник керівника відділу боротьби з комп’ютерною злочинністю при Департаменті контррозвідки СБУ Костянтин Корсун оприлюднив власну версію інциденту.
За інформацією Костянтина Корсуна, хакерська група «DaVinci Group» (UAC-0050) зламала Telegram-бот, який раніше вважався офіційним «Резерв+», і почала розсилати шкідливе програмне забезпечення типу Medusa Stealer. Це програмне забезпечення викрадає дані зі смартфонів, після чого самовидаляється, залишаючи користувачів без жодних підозр про атаку.
Ця група хакерів спеціалізується на кібершпигунстві та часто використовує інструменти на кшталт LunaStealer і RemcosRAT. Основна їхня мета — викрадення інформації з українських державних органів.
Після того, як користувачі почали скаржитися на підозрілий файл, команда розробників з Міністерства оборони швидко видалила посилання на скомпрометований Telegram-канал. Проте офіційна реакція була обмежена лише цією дією, – стверджує Костянтин Корсун. За його словами, заступниця міністра оборони заявила, що «Резерв+» не має жодних офіційних Telegram-каналів чи ботів, що викликало обурення серед користувачів, адже раніше такі канали були анонсовані у травні 2024 року.
Екс-заступник керівника відділу боротьби з комп’ютерною злочинністю СБУ констатує: поки що точна кількість уражених пристроїв невідома, проте очевидно, що інформація тисяч призовників, військовозобов’язаних і резервістів могла бути викрадена. Це створює значні ризики для національної безпеки та військовозобов’язаних громадян.
Розробники додатку «Резерв+», на думку Костянтина Корсуна, несуть часткову відповідальність за інцидент, оскільки допустили використання неконтрольованого Telegram-бота для критичного додатку. Telegram, як платформа, має відомі вразливості, і її використання у військово-мобілізаційних процесах ставить під загрозу безпеку користувачів. Але наразі немає ознак того, що хтось буде покараний за цей інцидент. Хоча кібератаки через «офіційні» Telegram-канали вже неодноразово траплялися, і є ймовірність, що аналогічні сценарії можуть повторитися.
