UAC-0099 і Sandworm разом атакували українську зернову компанію
Дослідники ESET виявили раніше невідомий бекдор MythicRatatoskr, який ховав командний сервер усередині децентралізованої mesh-мережі Yggdrasil. Цей інструмент проклав шлях до руйнівної атаки на українську компанію, що займається логістикою зерна: угруповання UAC-0099 здобуло початковий доступ до її мережі й передало його Sandworm, яке згодом знищило дані.
Головне
16 липня 2025 року UAC-0099 проникла в мережу української компанії, що займається логістикою зерна, через фішинговий лист зі шкідливим вкладенням.
Наступного дня зловмисники встановили раніше невідомий бекдор MythicRatatoskr, командний сервер якого розміщено в децентралізованій мережі Yggdrasil.
17 вересня 2025 року Sandworm знищило дані компанії за допомогою утиліти SDelete.
За даними ESET, це перший задокументований випадок такого використання Yggdrasil угрупованням, повʼязаним з державою.
Як розгорталася атака
За даними телеметрії ESET, 16 липня 2025 року о 06:59 на одному з компʼютерів компанії запустилося заплановане завдання, яке виконало шкідливий PowerShell-код. Атака почалася з цільового фішингового листа зі шкідливим вкладенням. За хвилину в системі зʼявився завантажувач MATCHBOIL, який доставив бекдор MATCHWOK, — обидва інструменти раніше вже повʼязували з UAC-0099.
Наступного дня на компʼютер потрапив MythicRatatoskr. Через близькість подій у часі дослідники з високим рівнем упевненості вважають, що саме ланцюжок MATCHWOK привів до розгортання нового бекдора. Згодом його копії зʼявилися й на інших машинах організації — цього разу через сервер OpenSSH SFTP. Пізніше на частині компʼютерів виявили окремий SOCKS5-сервер, який, імовірно, встановили за допомогою MythicRatatoskr, щоб перенаправляти зʼєднання через скомпрометовану мережу.
Приблизно через два місяці, 17 вересня 2025 року, у мережі компанії почалося знищення даних. Зловмисники розгорнули легітимну утиліту SDelete через групові політики Active Directory. За оцінкою ESET, це типова тактика Sandworm, яку дослідники неодноразово фіксували раніше.
Ми не бачили, щоб бекдор MythicRatatoskr використовувався деінде, і знайшли ознаки того, що може існувати також версія для Linux
Антон Черепанов, головний дослідник шкідливого ПЗ ESET
Чому командний сервер сховали в Yggdrasil
Yggdrasil — децентралізована mesh-мережа з експериментальною схемою маршрутизації. Вона зʼєднує пристрої напряму, без центрального вузла, і будує поверх інтернету зашифровану IPv6-мережу, де трафік між вузлами захищено наскрізно. Такі мережі легально використовують для стійкого звʼязку, досліджень і аматорських проєктів. Відсутність єдиного сервера, який можна вимкнути, робить мережу стійкою до збоїв — і саме ця властивість приваблює зловмисників: мережеві засоби захисту можуть не помітити вихідних зʼєднань із командним сервером.
Водночас Yggdrasil не забезпечує анонімності, тож вузли в ній можна знайти. Дослідники ESET побудували власну карту мережі й виявили на ній командний сервер, хоча встановити його фізичне розташування було особливо складно.
За оцінкою ESET, це перший задокументований випадок, коли повʼязане з державою угруповання використало Yggdrasil у такий спосіб. Дослідники вважають, що він може свідчити про ширшу тенденцію: зловмисники переходять на експериментальні однорангові мережі, щоб зробити свою інфраструктуру стійкішою та непомітнішою.
Назва бекдора походить зі скандинавської міфології: Іґґдрасіль — священне дерево, що поєднує світи, а білка Рататоск переносить ним повідомлення між верхівкою та корінням.
Зважаючи на роль бекдора як посланця, що снує мережею Yggdrasil, ми вирішили назвати його MythicRatatoskr
Петер Стрічек, дослідник ESET
Що вміє MythicRatatoskr
MythicRatatoskr написаний мовою Go і має стандартний для бекдорів набір функцій: виконує команди через cmd.exe, переміщується файловою системою, передає файли, робить знімки екрана та працює як проксі (зокрема як зворотний SOCKS5-проксі). Під час першого підключення він надсилає на сервер імʼя користувача, імʼя компʼютера й параметри локальної мережі. На заражених машинах бекдор маскувався під системні файли на кшталт updater.exe чи WindowsDefenderSvc.exe і запускався як служба Windows, а його конфігурацію зашифровано алгоритмом AES.
Ознаки в коді, за даними ESET, вказують, що розробка почалася між груднем 2024 і лютим 2025 року. Шляхи до конфігураційних файлів у стилі Unix свідчать про можливе існування версії для Linux.
Хто стоїть за атакою
Етап проникнення ESET з високим рівнем упевненості приписує UAC-0099 — через використання її відомих інструментів MATCHBOIL і MATCHWOK. Знищення даних дослідники так само впевнено повʼязують із Sandworm на основі характерних тактик, технік і процедур (TTP). Водночас поки невідомо, яке з двох угруповань переважно керувало MythicRatatoskr.
UAC-0099 займається кібершпигунством проти державних органів, фінансових установ і ЗМІ в Україні; вперше про неї повідомила CERT-UA у червні 2023 року. З огляду на вибір цілей ESET із середнім рівнем упевненості вважає, що угруповання діє в інтересах росії і може працювати як «брокер початкового доступу» для Sandworm.
Sandworm атрибутують військовій частині 74455 ГРУ — у 2020 році Міністерство юстиції США висунуло обвинувачення шістьом її офіцерам. Угруповання відоме атаками на українську енергетику у 2015 і 2016 роках, що спричинили знеструмлення, та атакою NotPetya 2017 року через бухгалтерську програму M.E.Doc. Від початку повномасштабного вторгнення Sandworm активно застосовує проти українських організацій шкідливе ПЗ для знищення даних.
Передача доступу між угрупованнями — не поодинокий випадок. Раніше у 2025 році ESET задокументувала співпрацю Gamaredon і Turla, повʼязаних із ФСБ. На думку дослідників, передача від UAC-0099 до Sandworm незвична щодо конкретних учасників, але як модель уже не дивує. Атака на зернову логістику вписується в ширшу картину: у листопаді 2025 року ESET повідомляла про серію руйнівних атак Sandworm на організації зернового, енергетичного, логістичного та державного секторів України в червні–вересні 2025 року.
Читайте такожУгруповання UAC-0099, що діє в інтересах росії, вдосконалює шкідливе ПЗ для атак на українські компанії
Як захиститися
Хоча командний сервер розміщено всередині Yggdrasil, ESET називає дієвим заходом блокування адрес публічних пірів цієї мережі: щоб приєднатися до неї, бекдор випадково обирає три вузли з вбудованого списку з 32 адрес. Повний перелік індикаторів компрометації дослідники опублікували в репозиторії на GitHub.
Оскільки атака почалася з фішингового листа зі шкідливим вкладенням, базовими заходами залишаються навчання працівників розпізнавати підозрілі листи, контроль запуску скриптів PowerShell і запланованих завдань, а також моніторинг змін групових політик Active Directory, через які Sandworm поширює інструменти знищення даних.
Результати дослідження ESET представила на конференціях LABScon 18 вересня 2026 року та Virus Bulletin 16 жовтня 2026 року.
Ця стаття UAC-0099 і Sandworm разом атакували українську зернову компанію раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня
