17 сентября 2025 года группа Sandworm провела уничтожающую атаку на украинскую логистическую компанию, получив доступ к её сети более чем за два месяца до этого. В цепочке компрометации использовался ранее не описанный бэкдор MythicRatatoskr, который связывался с управляющим сервером через mesh-сеть Yggdrasil. Для российских компаний и команд ИБ это ещё один сигнал: привычная охота за доменами и IP-адресами C2-серверов всё хуже работает против операторов, умеющих прятать инфраструктуру в peer-to-peer-сетях.
По данным The Hacker News, начальный доступ 16 июля 2025 года получила группировка UAC-0099, также известная как Earth Sirrush. Атакующие отправили целевое фишинговое письмо с вредоносным вложением. Оно запустило загрузчик MATCHBOIL, который доставил в систему бэкдор MATCHWOK. Уже на следующий день на скомпрометированном хосте появился MythicRatatoskr, а затем доступ к проверенной цели передали Sandworm.
Финальная стадия была не разведкой и не вымогательством. Sandworm развернула утилиту SDelete через групповые политики Active Directory и использовала её для стирания данных. Это важная деталь для администраторов Windows-доменов: Group Policy остаётся удобным штатным механизмом массового развёртывания, но после захвата привилегированной учётной записи он же превращается в средство одномоментно доставить разрушительную нагрузку на множество машин. С SDelete связывают и вредоносную программу NikoWiper, которую исследователи ранее относили к активности Sandworm.
Зачем атакующим mesh-сеть
Главная техническая находка расследования ESET — не сам факт использования RAT, а его канал управления. Бэкдор MythicRatatoskr подключался к C2-серверу внутри Yggdrasil — экспериментальной mesh-сети с маршрутизацией между узлами. Такая схема усложняет блокировку управляющей инфраструктуры: защитнику недостаточно добавить один домен или IP в denylist, поскольку связь проходит через распределённую сеть.
Функциональность MythicRatatoskr вполне прикладная: он отправляет сведения о заражённой машине, получает команды, передаёт их результаты, делает снимки экрана и загружает либо выгружает файлы. В арсенале также смена рабочего каталога, просмотр содержимого директорий, запуск команд через cmd.exe, изменение адреса C2 и запуск обратного SOCKS5-прокси. Последний позволяет использовать заражённую машину как промежуточную точку для доступа к другим сегментам сети — особенно ценно после того, как первичный доступ уже подтверждён.
В отдельных образцах аналитики обнаружили задержку старта на 10 минут. Вероятная цель проста: не подключаться к Yggdrasil сразу после запуска и уменьшить шанс, что песочница или EDR увидит подозрительную сетевую активность в первые секунды жизни процесса. В коде есть и ссылка на crond, поэтому ESET допускает существование Linux-версии вредоноса, хотя подтверждённая атака затронула Windows-среду. Для организаций со смешанной инфраструктурой это повод не ограничивать поиск индикаторов Windows-хостами.
Не одиночная операция, а разделение ролей
Связка UAC-0099 и Sandworm выглядит как модель разделения труда. UAC-0099 занимается проникновением через spear phishing, развёртывает инструменты и подтверждает ценность цели; Sandworm получает уже подготовленный доступ для постэксплуатации и разрушительной фазы. ESET ранее фиксировала, что UAC-0099 передавала Sandworm «валидированные» цели в государственных, энергетических, логистических и зерновых организациях Украины. Нынешний эпизод, по подтверждению компании, был частью этой активности.
Такое сотрудничество не выглядит исключением. Исследователи уже описывали совместные операции связанных с Россией Gamaredon и Turla против украинских организаций: в одной из атак PteroGraphin от Gamaredon использовался для доставки Kazuar от Turla. В другой цепочке загрузчик Pterodo применяли для загрузки InvisiMole. Для защитников это означает, что атрибуция по одному семейству вредоносного ПО не должна завершать расследование: первоначальный оператор и тот, кто развивает доступ дальше, могут быть разными группами с разными TTP.
Практический минимум для ИБ-команд здесь довольно приземлённый: ограничить выполнение вложений из почты, отслеживать запуск новых процессов и необычные исходящие соединения после открытия документов, отдельно мониторить изменения GPO и выдачу прав на их редактирование. Не менее важно проверять появление неизвестных SOCKS-прокси и строить резервное копирование так, чтобы администратор домена не мог одним действием удалить и рабочие данные, и их копии.
Использование Yggdrasil государственно связанным актором ESET называет первым документированным случаем такого рода. Если подход приживётся, защитникам придётся расширять модели обнаружения: искать не только знакомые C2-индикаторы, но и поведение — туннелирование, проксирование, аномальные маршруты и попытки закрепиться перед разрушительной операцией. В этой истории особенно неприятна не экзотика mesh-сети, а два месяца, которые атакующие спокойно превратили из фишингового письма в готовый сценарий стирания данных.
