Új hálózati hátsó kaput vetettek be egy ukrán cég elleni adattörlő támadásban
Az ESET elemzését ismertető beszámoló szerint két, Oroszországhoz köthető támadócsoport működött együtt egy ukrán logisztikai cég megtámadásában. Az UAC-0099 megszerezte a hozzáférést, majd átadta azt a Sandworm csoportnak, amely adatokat törölt. A behatolás során egy korábban nem dokumentált, Yggdrasil hálózaton kommunikáló kártevőt is bevetettek.
Fertőzött melléklettől jutottak el az adattörlésig
Az ESET megállapításai szerint az UAC-0099 2025. július 16-án jutott be a célpont rendszerébe egy célzott, kártékony mellékletet tartalmazó e-maillel. A MATCHBOIL nevű letöltőprogram telepítette a MATCHWOK hátsó kaput.
A Sandworm 2025. szeptember 17-én hajtotta végre az adattörlő műveletet. Ehhez az SDelete segédprogramot juttatta el a gépekre az Active Directory csoportházirendjén keresztül.
A Yggdrasil hálózatban helyezték el a vezérlőszervert
A MATCHWOK futtatását követő napon telepítették a MythicRatatoskr nevű hátsó kaput. Ez a Yggdrasil mesh-hálózatban elhelyezett vezérlőszerverrel tartotta a kapcsolatot: adatokat küldött a fertőzött gépről, utasításokat kért, majd visszaküldte azok eredményét.
A kártevő képernyőképeket készíthetett, fájlokat tölthetett fel és le, valamint parancsokat hajthatott végre. Egyes változatai 10 perc késleltetéssel indultak; a kutatók ezt az észlelés elkerülésére tett valószínű kísérletként értékelték.
Az ESET kutatói tudomásuk szerint először dokumentálták, hogy állami kötődésű támadók ilyen módon éltek vissza a Yggdrasil hálózattal.
Korábban is megfigyeltek hozzáférés-átadást
Az ESET korábbi jelentése már leírta, hogy az UAC-0099 megszerzett hozzáféréseket adott tovább a Sandworm csoportnak. Az akkori műveletek Ukrajnában kormányzati, energetikai, logisztikai és gabonaipari célpontokat érintettek.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum