Sandworm iskoristio mesh mrežu u napadu na ukrajinsku logistiku
ESET je utvrdio da su UAC-0099, poznat i kao Earth Sirrush, i ruski državno povezani akter Sandworm učestvovali u destruktivnom napadu na ukrajinsku logističku kompaniju. UAC-0099 je pristup stekao 16. jula 2025. putem ciljane fišing poruke sa zlonamernim prilogom, dok je Sandworm 17. septembra 2025. izveo brisanje podataka, više od dva meseca nakon početnog prodora.
Početni lanac doveo je do postavljanja bekdora MATCHWOK preko preuzimača MATCHBOIL. Dan nakon izvršavanja MATCHWOK-a, napadači su rasporedili i do tada nedokumentovani MythicRatatoskr, što ukazuje na višefaznu operaciju sa dugim periodom zadržavanja u mreži pre završnog udara.
Yggdrasil kao infrastruktura za komandovanje
MythicRatatoskr komunicira sa komandno-kontrolnim serverom smeštenim unutar Yggdrasil mesh mreže. ESET navodi da je to prvi dokumentovani slučaj zloupotrebe Yggdrasila na ovaj način od aktera povezanog sa državom. Takva mreža može napadačima pružiti otporniju i diskretniju infrastrukturu za upravljanje kompromitovanim sistemima.
Bekdor šalje metapodatke o žrtvi, preuzima komande i vraća njihove rezultate, pravi snimke ekrana i prenosi datoteke. Može da menja radni direktorijum i adresu C2 servera, izlistava sadržaj direktorijuma, izvršava komande kroz cmd.exe i pokreće reverzni SOCKS5 proksi. Pojedini uzorci sadrže odlaganje pokretanja od deset minuta, verovatno radi izbegavanja neposrednog povezivanja na Yggdrasil i otežavanja detekcije.
Predaja pristupa i brisanje podataka
ESET je već zabeležio obrazac u kojem UAC-0099 obavlja operacije početnog pristupa, a potom Sandwormu predaje potvrđene mete za dalju eksploataciju. U periodu obuhvaćenom izveštajem, mete su pripadale ukrajinskim državnim, energetskim, logističkim i žitnim sektorima.
U opisanom incidentu MythicRatatoskr je korišćen i za postavljanje SOCKS5 servera, kako bi se veze usmeravale kroz kompromitovanu mrežu. Završnu fazu izveo je Sandworm: alat SDelete dostavljen je putem pravila Active Directory Group Policy radi brisanja podataka. ESET podseća i da je sa Sandwormom povezan NikoWiper izveden iz alata SDelete.
Šta bezbednosni timovi treba da provere
Iako je analizirani slučaj pogodio Windows sistem, reference na crond u izvornom kodu MythicRatatoskr-a ukazuju na mogućnost postojanja Linux verzije. To nije potvrda njene upotrebe u ovom napadu, ali je relevantno za obuhvat istrage i nadzora.
Praktičan zaključak za poslovanje je da odbrana ne sme stati na uklanjanju fišing poruke ili početnog malvera. Potrebno je proveriti tragove dugotrajnog pristupa, neuobičajene SOCKS5 proksije, izmene Active Directory Group Policy pravila i mehanizme prenosa datoteka, jer se početni prodor u ovom slučaju pretvorio u brisanje podataka tek nakon više od dva meseca.