По словам компании, это первый задокументированный случай, когда хакерская группа, связанная с государством, использовала сеть Yggdrasil таким образом.
Результаты расследования были опубликованы в четверг в новом отчёте ESET. Компания также не назвала жертву атаки.
Атака началась 16 июля 2025 года: хакеры отправили фишинговое письмо, призванное обманом заставить сотрудника открыть им доступ к системам компании.
ESET связала первоначальное проникновение с группой UAC-0099, которую украинская команда реагирования на киберинциденты CERT-UA впервые выявила в 2023 году.
Злоумышленники установили две вредоносные программы. На следующий день они добавили ещё одну — бэкдор, который ESET назвала MythicRatatoskr. Он позволял запускать команды на заражённых компьютерах, похищать файлы и делать снимки экрана.
Два месяца спустя, 17 сентября, злоумышленники стёрли данные на компьютерах компании. Для этого они использовали SDelete — легитимную программу для безвозвратного удаления файлов, — и распространили её через сетевые настройки самой компании.
ESET заявила, что с высокой степенью уверенности считает группировку Sandworm ответственной за разрушительную часть атаки. Правительства западных стран связывают Sandworm с российским военным ведомством ГРУ.
По мнению ESET, UAC-0099 предоставила Sandworm доступ к системам, однако исследователи не смогли определить, какая группа управляла бэкдором MythicRatatoskr.
Необычным в этой атаке был способ связи вредоносной программы с операторами. Вместо обычного центрального сервера она использовала Yggdrasil — зашифрованную сеть, которая позволяет устройствам напрямую обмениваться данными через интернет.
Поскольку у Yggdrasil нет центрального оператора, власти или службы безопасности не могут отключить один сервер, чтобы нарушить работу сети, отметили в ESET.
Однако проект всё ещё находится на экспериментальной стадии и не обеспечивает анонимность пользователей. Устройства, подключённые к сети, по-прежнему можно отследить.
«Насколько нам известно, это первый задокументированный случай такого злоупотребления Yggdrasil со стороны связанного с государством злоумышленника», — заявили исследователи ESET.
Исследователь Антон Черепанов сообщил изданию The Record, что ESET не обнаружила доказательств использования MythicRatatoskr в других атаках.
Сельскохозяйственный сектор Украины часто становится целью российских атак. До полномасштабного вторжения на него приходилась примерно пятая часть экономики страны и почти половина её экспорта.
Российские войска также атаковали украинские порты и зернохранилища.
Ранее ESET связывала Sandworm с атаками по уничтожению данных, направленными против украинских компаний в сельскохозяйственном, энергетическом и транспортном секторах в середине 2025 года.
Украина также может обратиться за помощью к резерву ЕС для экстренного реагирования на киберинциденты. Это соглашение, заключённое в июне, позволяет стране получать дополнительную поддержку в сфере кибербезопасности во время масштабных атак.
Опубликовано 22 октября 2026 - 03:01 Наверх
