Пророссийская хакерская группировка впервые использовала сеть Yggdrasil при атаке на Украину
В июле 2025 года пророссийская хакерская группировка UAC-0099 получила доступ к сети украинской логистической компании через фишинговое письмо, после чего, предположительно, передала доступ группировке Sandworm, которая уничтожила данные с помощью легитимной утилиты Microsoft SDelete. Для сокрытия коммуникаций использовалась децентрализованная сеть Yggdrasil.
Компания по кибербезопасности ESET сообщила о первом задокументированном случае использования добровольческой децентрализованной сети Yggdrasil пророссийской хакерской группировкой. По данным компании, сеть применялась для сокрытия коммуникаций при атаке на украинскую компанию по логистике зерна, которая завершилась уничтожением данных.
Как указывается в сообщении ESET, вторжение в июле 2025 года прослеживается до фишингового письма, отправленного в рамках кампании, нацеленной на логистические фирмы, зерновые компании и портовые терминалы Украины. Злоумышленники установили программное обеспечение для удалённого управления заражёнными компьютерами, просмотра файлов, создания скриншотов и похищения документов. Связь с сервером осуществлялась через сервер, скрытый внутри Yggdrasil — экспериментальной добровольческой сети без центрального владельца. В ESET отметили, что ячеистая структура сети затрудняет её обнаружение, и ранее компания не наблюдала атак, связанных с государством, с использованием этой сети.
После получения прав администратора злоумышленники активировали инструмент для уничтожения данных, удаливший данные с затронутых компьютеров. Использовалась утилита SDelete — легитимный инструмент Microsoft для безвозвратного стирания файлов. Представитель Microsoft сообщил Reuters, что SDelete является общедоступной административной утилитой, которая, как и многие легитимные инструменты, может быть использована во вред злоумышленниками, уже получившими доступ к сети.
Первоначальное вторжение, по данным ESET, осуществила пророссийская хакерская группировка UAC-0099, специализирующаяся на получении доступа к сетям. Последующее уничтожение данных носило признаки группировки Sandworm. ESET оценила, что UAC-0099 успешно получила доступ и передала его Sandworm, но не смогла определить, какая группировка управляла ранее не встречавшейся бэкдор-программой, использованной между взломом и уничтожением данных.
В ESET также заявили, что не могут определить, для чего использовались затронутые системы, и подтвердить, нарушила ли атака операции с зерном.
Читайте также
