Fałszywy e-mail CERT-UA z AGEWHEEZE

Fałszywy e-mail CERT-UA rozsyłany 26–27 marca 2026 r. podszywał się pod ukraiński zespół reagowania na incydenty i nakłaniał odbiorców do pobrania chronionego hasłem archiwum ZIP z rzekomym narzędziem ochronnym. Kampania była kierowana m.in. do instytucji publicznych, placówek medycznych, firm finansowych, szkół oraz podmiotów z branży bezpieczeństwa i oprogramowania. W archiwum znajdował się złośliwy program AGEWHEEZE. Jeśli masz podobną wiadomość, nie pobieraj ani nie uruchamiaj pliku; zgłoś ją przez incydent.cert.pl.

Jak wyglądał fałszywy e-mail CERT-UA

CERT-UA opisał kampanię UAC-0255 obserwowaną 26–27 marca 2026 r. Według komunikatu ukraińskiej administracji wiadomość zawierała „ostrzeżenie” o rzekomo przygotowywanym dużym cyberataku i wezwanie do pobrania oraz instalacji „specjalistycznego oprogramowania” do ochrony. Plik był udostępniany w usłudze Files.fm jako chronione hasłem archiwum ZIP; pojawiały się nazwy CERT_UA_protection_tool.zip i protection_tool.zip.

Część wiadomości wykorzystywała adres w domenie cert-ua.tech, podczas gdy serwis CERT-UA działa pod cert.gov.ua. Po uruchomieniu pliku na komputer trafiał AGEWHEEZE — złośliwy program umożliwiający zdalne sterowanie zainfekowanym systemem.

Co zdradzało tę kampanię

• adres lub link związany z cert-ua.tech zamiast cert.gov.ua;
• pobieranie rzekomego narzędzia bezpieczeństwa z zewnętrznej usługi Files.fm;
• chronione hasłem archiwum ZIP przedstawiane jako oprogramowanie ochronne;
• presja wynikająca z ostrzeżenia o pilnym, dużym cyberataku.

Zaufanie do komunikatu bezpieczeństwa wykorzystuje też fałszywy e-mail LastPass Support, choć w tamtej kampanii celem było wyłudzenie hasła głównego.

To był phishing: napastnicy podszyli się pod zaufaną instytucję, żeby skłonić odbiorcę do uruchomienia złośliwego pliku. Mechanizm podszywania i wywierania presji wyjaśnia Baza wiedzy o phishingu.

Co zrobić po otrzymaniu lub otwarciu wiadomości

Tylko dostałem wiadomość

Nie klikaj linku, nie pobieraj archiwum i nie odpowiadaj nadawcy. Zachowaj wiadomość do zgłoszenia, prześlij opis zdarzenia i nagłówki e-maila przez incydent.cert.pl, a w firmie powiadom zespół IT albo osobę odpowiedzialną za bezpieczeństwo.

Kliknąłem link lub pobrałem archiwum

Jeśli pliku nie uruchomiłeś, nie otwieraj archiwum ani znajdującego się w nim programu. Przekaż zespołowi IT nazwę pobranego pliku, godzinę pobrania i adres strony, z której pochodził; po zabezpieczeniu tych informacji usuń pobrany plik.

Uruchomiłem plik

Odłącz komputer od Wi-Fi i przewodu sieciowego, nie używaj go dalej i z innego urządzenia skontaktuj się z zespołem IT lub osobą odpowiedzialną za bezpieczeństwo. Zgłoś incydent przez incydent.cert.pl. Hasła używane na tym komputerze zmieniaj dopiero z innego, niezainfekowanego urządzenia. Po analizie komputera zespół IT wskaże konta, których hasła trzeba zmienić.

Czego nie robić

Nie uruchamiaj archiwum tylko po to, aby „sprawdzić”, czy alert jest prawdziwy. Nie traktuj tematyki bezpieczeństwa ani podobnej nazwy domeny jako dowodu wiarygodności wiadomości. Jeśli komunikat rzeczywiście pochodzi od CERT-UA, jego treść można porównać z informacjami opublikowanymi w domenie cert.gov.ua.