У кібератаці на українську компанію хакери вперше використали мережу Yggdrasil

Фахівці з кібербезпеки ESET дослідили кібератаку на українську компанію, що займається зерновою логістикою, у якій, за їх оцінкою, співпрацювали два пов’язані з рф угруповання – UAC-0099 і Sandworm. В ході розслідування інциденту фахівці виявили раніше невідомий бекдор MythicRatatoskr, який використовує децентралізовану mesh-мережу Yggdrasil для зв’язку із сервером керування.

Початковий доступ до систем компанії зловмисники отримали 16 липня 2025 року через цільовий фішинговий лист зі шкідливим вкладенням. Спочатку на комп’ютері запустився завантажувач Matchboil, який встановив бекдор Matchwok. Наступного дня атакувальники розгорнули MythicRatatoskr. Згодом його копії з’явилися на інших машинах організації, зокрема через SFTP-сервер OpenSSH.

Бекдор написаний мовою Go та працює як служба Windows. Він збирає дані про користувача, ім’я комп’ютера й параметри локальної мережі, виконує команди, передає файли та знімки екрана на сервер керування. Також програма підтримує проксіювання з використанням SOCKS5.

Для зв’язку з інфраструктурою операторів MythicRatatoskr підключається до публічної мережі Yggdrasil – децентралізованої IPv6-мережі з наскрізним шифруванням. Адреса сервера керування міститься всередині цієї мережі, що ускладнює встановлення його фізичного розташування та може заважати виявленню шкідливого трафіку стандартними засобами моніторингу. Водночас ESET наголошує, що Yggdrasil не призначена для забезпечення анонімності.

Приблизно через два місяці після початкового проникнення, на системах компанії зафіксували знищення даних. Для атаки використали утиліту SDelete, яку розгорнули через групову політику Active Directory. Цей підхід відповідає тактикам Sandworm, відомого руйнівними кібератаками проти українських організацій.

ESET із високою впевненістю пов’язує початкове проникнення з UAC-0099, а знищення даних – із Sandworm. Дослідники вважають, що перше угруповання передало другому доступ до скомпрометованої мережі, однак не встановили, хто саме керував MythicRatatoskr під час операції.

За оцінкою ESET, це перший задокументований випадок використання Yggdrasil у такий спосіб державоорієнтованим кіберугрупованням. У зразках шкідливого ПЗ також знайшли ознаки, які вказують на можливе існування версії для Linux, але її використання дослідники не підтвердили.

Як безпечно перейти до системного та керованого використання ChatGPT Business