Подпишитесь на нас в Google
Компания ESET – лидер в области информационной безопасности – обнаружила ранее неизвестную угрозу MythicRatatoskr, которая способствовала разрушительной атаке на украинскую зерновую компанию, скрывая свой командный сервер (C&C) в сети Yggdrasil. Российская группа киберпреступников UAC-0099 получила первоначальный доступ к системе и передала его другой группе злоумышленников – Sandworm, которая затем осуществила атаку с целью удаления данных.
Такие совместные действия не являются единичным случаем. Учитывая, что активность Sandworm приписывают подразделению ГРУ 74455, а также наличие общих целей с UAC-0099, исследователи ESET считают, что эта атака осуществлялась в интересах России.
"16 июля 2025 года злоумышленники из UAC-0099 получили первоначальный доступ к сети украинской зерновой логистической компании посредством целенаправленного фишингового письма со вредоносным вложением, что привело к запуску бэкдора MATCHWOK. Через день злоумышленники развернули бэкдор MythicRatatoskr, который соединяется с командным сервером, расположенным в сети Yggdrasil. "Ранее мы не фиксировали использования этого бэкдора, а также обнаружили признаки наличия еще одной версии для Linux", – рассказывает исследователь ESET.
Yggdrasil – это децентрализованная mesh-сеть с экспериментальным механизмом маршрутизации, в которой IPv6-соединения между узлами полностью защищены. Кроме того, специалисты ESET полагают, что UAC-0099 может осуществлять действия, направленные на предоставление группе Sandworm первоначального доступа к системам жертв.
"Слово Yggdrasil происходит из норвежской мифологии и означает священное дерево, соединяющее различные миры вселенной. В этом дереве живет белка Рататоск, которая передает сообщения от верхушки к корню этого дерева. Учитывая роль бэкдора, который быстро распространяется по сети Yggdrasil, мы решили назвать бэкдор MythicRatatoskr", – объясняет исследователь ESET.
После компрометации использовалось известное вредоносное программное обеспечение – загрузчик MATCHBOIL и бэкдор MATCHWOK, что позволяет ESET с высокой степенью уверенности связывать этот этап атаки с группой киберпреступников UAC-0099. Также исследователи ESET на основе применённых TTP связывают деятельность по удалению данных, наблюдавшуюся через два месяца, с Sandworm. По данным телеметрии ESET, первоначальный доступ был получен через фишинговое письмо со вредоносным вложением. Этот доступ позже использовался в деятельности, завершившейся разрушительной атакой Sandworm.
MythicRatatoskr обладает стандартным функционалом бэкдора, включая выполнение команд, навигацию по файловой системе, передачу файлов, захват снимков экрана и проксирование. Вероятно, бэкдор использовался для развертывания SOCKS5-сервера с целью перенаправления соединений через скомпрометированную сеть.
Российская группа киберпреступников UAC-0099 занимается кибершпионажем и осуществляет атаки на государственные организации, финансовые учреждения и СМИ в Украине. Учитывая выбор целей, специалисты ESET со средним уровнем уверенности полагают, что эта группа действует в интересах России. Sandworm – еще одна российская группа злоумышленников, известная своими разрушительными атаками.
