O companie ucraineană din sectorul logistic a fost compromisă în iulie 2025 printr-un e-mail de spear-phishing, iar accesul obținut a ajuns ulterior la Sandworm, grup asociat statului rus. Pe 17 septembrie, atacatorii au lansat un atac distructiv de ștergere a datelor, la peste două luni după intruziunea inițială, potrivit analizei ESET.
Investigația arată o colaborare între UAC-0099, cunoscut și ca Earth Sirrush, și Sandworm, dar și folosirea unui backdoor nedocumentat anterior, MythicRatatoskr. Acesta își găzduia comunicațiile de comandă și control într-o rețea mesh peer-to-peer numită Yggdrasil, o alegere neobișnuită pentru un actor aliniat unui stat.
De la atașamentul infectat la un backdoor prin Yggdrasil
UAC-0099 a obținut acces inițial pe 16 iulie 2025, printr-un mesaj de spear-phishing cu atașament malițios. Un program de descărcare numit MATCHBOIL a instalat backdoor-ul MATCHWOK, iar MythicRatatoskr a fost implementat la o zi după executarea acestuia, potrivit cronologiei reconstruite de ESET.
MythicRatatoskr trimitea către serverul de comandă și control metadate despre victimă, verifica dacă existau comenzi noi și transmitea rezultatele execuției. Putea, de asemenea, să captureze ecranul, să încarce și să descarce fișiere, să schimbe directorul de lucru și adresa URL a serverului C2 și să execute comenzi prin cmd.exe.
Unele mostre includeau o întârziere de zece minute la pornire, posibil pentru a evita conectarea imediată la Yggdrasil și a reduce șansa de detectare. Malware-ul putea crea și un proxy SOCKS5 invers; ESET spune că acesta a fost folosit pentru a ruta conexiuni prin rețeaua compromisă.
Referințele la crond din cod sugerează posibilitatea unei variante Linux, dar atacul analizat a vizat un sistem Windows.
Sandworm a transformat accesul în ștergerea datelor
După ce a menținut accesul mai mult de două luni, UAC-0099 l-a predat către Sandworm, care a lansat atacul de ștergere pe 17 septembrie 2025. Instrumentul SDelete a fost distribuit prin Active Directory Group Policy, o metodă care poate permite propagarea rapidă a unei acțiuni distructive către sisteme administrate centralizat.
ESET notează că malware-ul NikoWiper, asociat Sandworm, este derivat tot din SDelete. În acest caz, utilitarul legitim a fost folosit pentru a șterge date, subliniind că instrumentele disponibile public pot deveni parte a unui atac distructiv fără să fie, prin ele însele, malware.
Cercetătorii ESET Anton Cherepanov și Peter Strýček au descris cazul drept prima utilizare documentată, de către un actor aliniat unui stat, a Yggdrasil în acest mod. Ei avertizează că rețelele peer-to-peer experimentale ar putea deveni o opțiune pentru infrastructuri de atac mai reziliente și mai greu de urmărit.
Ce pot învăța organizațiile din România și UE
ESET raportase deja că UAC-0099 realiza operațiuni de acces inițial și transfera către Sandworm țintele validate pentru activități ulterioare. Campaniile vizau instituții guvernamentale, energie, logistică și sectorul cerealelor din Ucraina; raportul nu indică faptul că această victimă sau campanie a vizat organizații din România ori din alte state UE.
Totuși, modelul operațional merită urmărit de companiile și instituțiile europene: accesul inițial poate fi obținut de un grup, apoi predat altuia, iar comunicațiile printr-o rețea mesh pot ocoli așteptările bazate exclusiv pe infrastructura C2 obișnuită. ESET a documentat anterior și cooperarea dintre Gamaredon și Turla, inclusiv folosirea PteroGraphin pentru instalarea backdoor-ului Kazuar.
Organizațiile ar trebui să limiteze atașamentele riscante, să monitorizeze procesele care lansează cmd.exe și proxy-uri SOCKS5 și să alerteze asupra modificărilor neobișnuite ale politicilor Group Policy. Verificarea execuțiilor SDelete, a conexiunilor către infrastructuri peer-to-peer și a accesului administrativ poate ajuta la identificarea activității înainte ca un acces inițial să se transforme într-un atac de ștergere.
