Sandworm использовала Yggdrasil и новый бэкдор в атаке на Украину
Исследователи ESET раскрыли цепочку атаки на украинскую логистическую компанию, в которой UAC-0099 получила доступ 16 июля 2025 года, а связанная с Россией группа Sandworm 17 сентября провела уничтожение данных. В операции использовались загрузчик MATCHBOIL, бэкдор MATCHWOK и ранее не описанный вредоносный инструмент MythicRatatoskr, работавший через mesh-сеть Yggdrasil.
От фишинга до уничтожения данных
Первоначальный доступ UAC-0099, также известной как Earth Sirrush, получила с помощью целевого фишингового письма с вредоносным вложением. Оно привело к развёртыванию MATCHWOK через загрузчик MATCHBOIL. Уже на следующий день после запуска MATCHWOK на скомпрометированной системе появился MythicRatatoskr.
По оценке ESET, затем доступ к цели был передан Sandworm. Спустя более двух месяцев после первоначального проникновения группа выполнила разрушительную фазу атаки: утилита SDelete была распространена через групповую политику Active Directory. С SDelete также связан вайпер NikoWiper, который исследователи относят к инфраструктуре Sandworm.
Зачем злоумышленникам понадобилась Yggdrasil
MythicRatatoskr подключался к серверу управления внутри Yggdrasil — децентрализованной mesh-сети. ESET называет этот случай первым задокументированным злоупотреблением Yggdrasil со стороны угрозы, связанной с государством. Такой способ связи отличает кампанию от более привычных схем с обычным внешним сервером управления.
Функции бэкдора включают передачу сведений о заражённой системе, получение команд и отправку результатов их выполнения. Он умеет создавать скриншоты, загружать и скачивать файлы, менять рабочую директорию, просматривать содержимое каталогов, менять адрес управляющего сервера и запускать команды через cmd.exe.
Инструмент также способен поднимать обратный SOCKS5-прокси. По данным ESET, MythicRatatoskr применялся для развёртывания SOCKS5-сервера и маршрутизации соединений через скомпрометированную сеть. В части образцов обнаружена задержка запуска на 10 минут, которая, вероятно, должна была отложить подключение к Yggdrasil.
Признаки совместной работы групп
В исходном коде MythicRatatoskr есть упоминания crond, поэтому ESET допускает существование версии для Linux, хотя изученная атака затронула Windows. Разработка бэкдора, по оценке исследователей, началась в период между декабрём 2024 года и февралём 2025 года.
Связь UAC-0099 и Sandworm согласуется с прежними наблюдениями ESET. В отчёте APT Activity Report за второй и третий кварталы 2025 года компания фиксировала, как UAC-0099 проводит операции начального доступа и передаёт Sandworm проверенные цели. В Украине эти действия были направлены на государственный, энергетический, логистический и зерновой сектора.
Для бизнеса этот инцидент подчёркивает необходимость рассматривать фишинг не как изолированное событие, а как возможное начало долгой многоэтапной операции. Мы должны контролировать подозрительные вложения, применение групповых политик, прокси-функции на рабочих станциях и нетипичные исходящие соединения, включая связь через нестандартные сетевые оверлеи.