Sandworm skasował dane ukraińskiej firmy zbożowej po włamaniu grupy UAC-0099

Rosyjska grupa Sandworm skasowała we wrześniu 2025 dane ukraińskiej firmy logistyki zbożowej. Wykorzystała dostęp, który dwa miesiące wcześniej zdobyła grupa UAC-0099. Tak opisuje atak raport słowackiej firmy ESET.

UAC-0099 weszła do sieci firmy w lipcu 2025 przez e-mail phishingowy ze złośliwym załącznikiem. Najpierw zainstalowała backdoor MatchWok, a potem nieznane wcześniej narzędzie MythicRatatoskr. Pozwalało ono zdalnie wykonywać polecenia, wykradać pliki i robić zrzuty ekranu. Według badaczy dostęp przekazano następnie grupie Sandworm, którą zachodnie wywiady łączą z rosyjskim wywiadem wojskowym GRU. Złośliwe oprogramowanie łączyło się z atakującymi przez Yggdrasil, czyli zdecentralizowaną sieć szyfrowanej wymiany danych bez centralnego serwera. ESET pisze, że to pierwszy udokumentowany przypadek takiego użycia tej sieci przez grupę powiązaną z państwem.

Kogo dotyczy

Celem była nienazwana ukraińska firma logistyki zbożowej. ESET nie widział narzędzia MythicRatatoskr nigdzie indziej i ma przesłanki, że istnieje też jego wariant na Linuksa.