Компанія ESET – лідер у галузі інформаційної безпеки – виявила невідому раніше загрозу MythicRatatoskr, яка сприяла руйнівній атаці на українську зернову компанію, приховуючи свій командний сервер (C&C) у мережі Yggdrasil. Російська група кіберзлочинців UAC-0099 отримала початковий доступ до системи і передала його іншій групі зловмисників – Sandworm, яка потім здійснила атаку з метою видалення даних.

Такі спільні дії не є поодиноким випадком. Зважаючи на те, що активність Sandworm приписують підрозділу ГРУ 74455, а також на наявність спільних цілей з UAC-0099, дослідники ESET вважають, що ця атака здійснювалася в інтересах росії.

"16 липня 2025 року зловмисники UAC-0099 отримали початковий доступ до мережі української зернової логістичної компанії через цілеспрямований фішинговий лист із шкідливим вкладенням, що призвело до виконання бекдора MATCHWOK. Через день зловмисники розгорнули бекдор MythicRatatoskr, який з’єднується із командним сервером, розташованим у мережі Yggdrasil. Ми не фіксували раніше використання цього бекдора, а також виявили ознаки наявності ще версії для Linux", – розповідає дослідник ESET.

Відео дня

Yggdrasil – це децентралізована mesh-мережа з експериментальним механізмом маршрутизації, в якій IPv6-з’єднання між вузлами повністю захищено. Крім того, спеціалісти ESET вважають, що UAC-0099 може здійснювати активності для надання початкового доступу систем жертв групі Sandworm.

"Слово Yggdrasil походить із норвезької міфології і означає священне дерево, що з’єднує різні світи всесвіту. У цьому дереві живе білка Рататоск, яка переносить повідомлення від верхівки до кореня цього дерева. Зважаючи на роль бекдора, який швидко поширюється мережею Yggdrasil, ми вирішили назвати бекдор MythicRatatoskr", – пояснює дослідник ESET.

Після компрометації використовувалося відоме шкідливе програмне забезпечення – завантажувач MATCHBOIL та бекдор MATCHWOK, що дозволяє ESET із високим рівнем впевненості пов'язувати цей етап атаки із групою кіберзлочинців UAC-0099. Також дослідники ESET на основі застосованих TTP пов'язують діяльність з метою видалення даних, яка спостерігалася через два місяці, із Sandworm. За даними телеметрії ESET, початковий доступ було отримано через фішинговий лист із шкідливим вкладенням. Цей доступ пізніше використовувався у діяльності, що завершилася руйнівною атакою Sandworm.

MythicRatatoskr має стандартний функціонал бекдора, включно з виконанням команд, навігацією файловою системою, передачею файлів, захопленням знімків екрана та проксіюванням. Ймовірно, бекдор використовувався для розгортання сервера SOCKS5, щоб перенаправляти підключення через скомпрометовану мережу.

Російська група кіберзлочинців UAC-0099 займається кібершпигунством і здійснює атаки на державні організації, фінансові установи та ЗМІ в Україні. З огляду на вибір цілей спеціалісти ESET із середнім рівнем упевненості вважають, що ця група діє відповідно до російських інтересів. Sandworm – інша російська група зловмисників, що відома своїми руйнівними атаками.