Спонсорираната от руската държава хакерска група Sandworm се е обединила с друг злонамерен субект, за да извърши разрушителна атака за изтриване на данни (wiping), насочена срещу украинска логистична компания през изминалата година.

Според ESET атаката е включвала UAC-0099 (позната още като Earth Sirrush), която е придобила първоначален достъп до мишената на 16 юли 2025 г. чрез фишинг имейл със заразен прикачен файл. Това е довело до внедряването на задната врата (backdoor) MATCHWOK посредством софтуер за изтегляне (downloader), наречен MATCHBOIL.

Дейността в крайна сметка е завършила с предаване на контрола върху достъпа от страна на атакуващия към Sandworm. Впоследствие, на 17 септември 2025 г. — повече от два месеца след установяването на първоначалния плацдарм в мрежата — Sandworm са провели унищожителна операция за заличаване на данните.

Това, което отличава атаката, е използването от страна на UAC-0099 на недокументирана досега задна врата, наречена MythicRatatoskr, която осъществява комуникация със сървър за управление и контрол (C2), разположен вътре в меш мрежата Yggdrasil. Задната врата е била внедрена ден след като MATCHWOK е бил стартиран.

Има индикации, че разработката на задната врата е започнала в периода между декември 2024 г. и февруари 2025 г. Нейната функционалност е сравнително стандартна: изпращане на метаданни за жертвата до C2 сървъра, периодична проверка за нови команди, предаване на резултата от изпълнените команди, заснемане на екрана и качване/изтегляне на файлове.

Тя може също така да променя текущата работна директория, да изброява съдържанието на директории, да сменя URL адреса на C2 сървъра, да изпълнява командни редове чрез cmd.exe и да стартира обратен SOCKS5 прокси сървър. Освен това някои артефакти включват 10-минутно забавяне при първоначално стартиране, вероятно с цел избягване на незабавно свързване към мрежата Yggdrasil и засичане от защитните системи.

„Доколкото ни е известно, това е първият документиран случай, при който Yggdrasil се експлоатира по този начин от държавно спонсориран злонамерен субект. Това може да е сигнал за по-широка тенденция, при която противниците възприемат експериментални peer-to-peer мрежи, за да повишат устойчивостта и прикритостта на своята инфраструктура“, коментират изследователите от ESET Антон Черепанов и Петер Стричек.

Съобщава се, че MythicRatatoskr е била използвана за внедряване на SOCKS5 сървър за пренасочване на връзките през компрометираната мрежа. Атаката е кулминирала с операцията на Sandworm по унищожаване на данните чрез разпространение на помощния инструмент SDelete през груповите политики на Active Directory (GPO). Заслужава си да се отбележи, че свързаният със Sandworm зловреден софтуер NikoWiper също е разработен на базата на SDelete.

Карта на Yggdrasil с C&C сървъра

Въпреки че разследваната от ESET атака е компрометирала система с Windows, препратки към crond в изходния код на MythicRatatoskr подсказват, че вероятно съществува и еквивалентна Linux версия на зловредния софтуер.

Констатацията, че UAC-0099 най-вероятно си сътрудничи със Sandworm, не е нова. В своя Доклад за APT активността за периода Q2 2025 – Q3 2025 ESET посочва, че е наблюдавала как UAC-0099 извършва операции по първоначален достъп и впоследствие прехвърля „валидирани мишени“ на Sandworm за по-нататъшна пост-експлоатация.

Тези атаки са били насочени срещу държавни структури, енергийния сектор, логистиката и селското стопанство (зърнодобив) в Украйна, отбеляза по това време словашката компания за киберсигурност.

Подобен вид взаимодействие между свързани с Русия субекти също не е прецедент. Миналата година ESET съобщи, че е открила доказателства за съвместна работа между Gamaredon и Turla за атакуване и съвместно компрометиране на украински субекти, като при един от пробивите софтуерът PteroGraphin на Gamaredon е бил използван за внедряване на задната врата Kazuar на Turla.

Освен това свързаният с Gamaredon софтуер за изтегляне Pterodo е бил използван за извличане и изпълнение на InvisiMole — модулен шпионски софтуер, насочен срещу цели в Украйна и Русия.

„Този вид сътрудничество подчертава потенциала за координирани кампании за кибершпионаж между свързани с Русия групи, които вероятно имат за цел да усилят оперативния си ефект“, допълват от ESET.