Sandworm и UAC-0099: разрушительная атака на Украину с бэкдором в mesh-сети Yggdrasil

Исследователи ESET описали целевую атаку на украинскую логистическую компанию, в которой две связанные с Россией группировки действовали сообща. Первичный доступ 16 июля 2025 года получила UAC-0099 (также известная как Earth Sirrush): жертва открыла вредоносное вложение из фишингового письма, что привело к установке бэкдора MATCHWOK через загрузчик MATCHBOIL.

Спустя более двух месяцев, 17 сентября 2025 года, доступ был передан группе Sandworm, которая провела разрушительную атаку с уничтожением данных. Для этого применялась штатная утилита SDelete, распространённая через групповые политики Active Directory. ESET напоминает, что известный вайпер Sandworm под названием NikoWiper тоже построен на основе SDelete.

Управление через mesh-сеть

Главная особенность операции — ранее не описанный бэкдор MythicRatatoskr, который UAC-0099 развернула на следующий день после запуска MATCHWOK. Он связывался с управляющим сервером, размещённым внутри одноранговой mesh-сети Yggdrasil. По оценке ESET, это первый задокументированный случай, когда государственно-ориентированная группировка использует Yggdrasil подобным образом, и это может указывать на более широкую тенденцию: злоумышленники осваивают экспериментальные peer-to-peer сети ради устойчивости и скрытности инфраструктуры.

Функциональность бэкдора довольно стандартна: он отправляет метаданные о жертве, запрашивает команды, передаёт результаты их выполнения, делает скриншоты, загружает и скачивает файлы, меняет рабочий каталог, перечисляет содержимое папок, подменяет адрес управляющего сервера, выполняет команды через cmd.exe и поднимает обратный SOCKS5-прокси. В части образцов предусмотрена десятиминутная задержка при старте — вероятно, чтобы не подключаться к Yggdrasil сразу и затруднить обнаружение. Разработка, судя по всему, велась между декабрём 2024 и февралём 2025 года.

Атака затронула Windows-систему, однако упоминание «crond» в исходном коде MythicRatatoskr намекает на возможное существование Linux-версии.

Не разовое сотрудничество

Предположение о взаимодействии UAC-0099 и Sandworm не ново: в отчёте за второй–третий кварталы 2025 года ESET уже отмечала, что UAC-0099 получает первичный доступ, а затем передаёт «проверенные цели» Sandworm для дальнейшей работы. Под удар попадали госструктуры, энергетика, логистика и зерновой сектор Украины.

Подобная кооперация характерна и для других пророссийских групп. Ранее ESET фиксировала совместные операции Gamaredon и Turla, в одной из которых загрузчик PteroGraphin использовался для доставки бэкдора Kazuar. По оценке компании, такая координация призвана усилить общий эффект кампаний кибершпионажа.

Источник: The Hacker News