Русские хакеры внедрили неизвестный бэкдор через сеть Yggdrasil и уничтожили данные украинской зерновой компании

Исследователи ESET 22 октября 2026 года сообщили об атаке на украинскую компанию, занимавшуюся логистикой зерна. Группировки UAC-0099 и Sandworm действовали совместно. Они проникли в корпоративную сеть через фишинговое письмо, установили неизвестный ранее бэкдор MythicRatatoskr, спрятали его сервер управления в децентрализованной сети Yggdrasil, а в сентябре уничтожили данные на компьютерах жертвы.

Письмо с вложением открыло путь в сеть

Атака началась 16 июля 2025 года, когда сотрудникам компании пришло адресное фишинговое письмо с вредоносным вложением. Телеметрия ESET зафиксировала дальнейшие события на одном из компьютеров, и они развивались быстро:

• в 06:59 запланированная задача pdfopentask запустила PowerShell-код из файла temporarydoc.txt;
• примерно через минуту появился загрузчик MATCHBOIL;
• следом установился бэкдор MATCHWOK, открывший злоумышленникам удалённый доступ;
• на следующий день, 17 июля, в системе появился MythicRatatoskr.

Инструменты MATCHBOIL и MATCHWOK ранее связывали с UAC-0099, поэтому исследователи с высокой степенью уверенности отнесли начальную фазу операции к этой группе. Копии MythicRatatoskr позже нашлись и на других машинах организации, а часть из них доставили через SFTP-сервер на базе OpenSSH.

Бэкдор на Go и сеть без единого центра

MythicRatatoskr написан на языке Go и позволяет собирать документы и сведения о внутренней инфраструктуре. Программа передавала на сервер управления имя пользователя, имя компьютера и параметры локальной сети. Среди функций бэкдора были:

• выполнение команд на заражённом компьютере;
• просмотр файловой системы;
• загрузка и выгрузка файлов;
• снимки экрана и проксирование сетевого трафика.

Для связи с сервером разработчики выбрали Yggdrasil, экспериментальную децентрализованную mesh-сеть. Обычный заражённый компьютер обращается к конкретному серверу в открытом интернете, а здесь устройства общаются через узлы, не зависящие от единого центра. Сеть строит поверх интернета собственную IPv6-структуру с шифрованием трафика. Создавалась она для устойчивых соединений, а не для анонимности, но её устройство усложняет поиск вредоносной инфраструктуры, если мониторинг смотрит на привычные адреса и домены.

В код бэкдора встроили закодированный список из 32 публичных узлов Yggdrasil. При запуске программа случайным образом выбирала три из них, входила в сеть и открывала HTTPS-соединение с сервером управления на порту 443. При каждом запуске создавались новая конфигурация и новая пара ключей, а поскольку адрес узла зависит от открытого ключа, IPv6-адрес заражённой машины мог постоянно меняться. Физическое расположение самого сервера установить оказалось значительно сложнее.

Данные стёрли штатными средствами

Злоумышленники сохраняли доступ к инфраструктуре с середины июля до середины сентября. 17 сентября 2025 года ESET зафиксировала разрушительную фазу операции. Для удаления информации атакующие использовали:

• SDelete, легитимную утилиту Microsoft для безопасного удаления файлов;
• групповые политики Active Directory, через которые администраторы централизованно управляют компьютерами в домене;
• административные права внутри сети, полученные ранее.

Групповые политики Active Directory применяют в корпоративных сетях по всему миру, в том числе в российских организациях, и штатный механизм управления превращается в инструмент массового удаления данных, как только у атакующих появляются права администратора. Вайпер, в отличие от программы-вымогателя, не шифрует файлы ради выкупа, а уничтожает информацию и нарушает работу организации. ESET не назвала пострадавшую компанию и не подтвердила, остановились ли перевозки зерна.

Передача доступа между группировками

UAC-0099 занимается кибершпионажем против украинских организаций как минимум с 2022 года. Sandworm известна разрушительными операциями, среди которых атаки на украинскую энергосистему в 2015 и 2016 годах и распространение NotPetya в 2017 году, которое вышло далеко за пределы Украины. Исследователи считают передачу доступа от UAC-0099 к Sandworm вероятной, но точный момент передачи не установили и не смогли определить, кто управлял MythicRatatoskr на протяжении всей операции.

По оценке ESET, это первый задокументированный случай применения Yggdrasil подобным образом группировкой, связанной с государственными структурами. Обнаружение подозрительной активности не всегда сводится к поиску вредоносного домена или одного управляющего сервера, поэтому при расследовании стоит учитывать:

• неизвестные программы и необычные сетевые соединения;
• применение легитимных административных инструментов;
• возможную передачу доступа между разными группами.

Блокировка известных публичных узлов Yggdrasil, по данным ESET, может ограничить подобные соединения, но результат зависит от конфигурации сети и заражённых систем.

Эксперты CISOCLUB отметили, что связка из легитимной сети, штатной утилиты Microsoft и групповых политик почти не оставляет классических сигнатур для обнаружения. SDelete и Active Directory присутствуют в любой корпоративной инфраструктуре, поэтому внимания заслуживает не сам инструмент, а контекст его запуска, например массовое развёртывание политики в нетипичное время.

Российским компаниям с Active Directory стоит проверить, кто может создавать и менять групповые политики и как фиксируются изменения в них. Передача доступа между группами означает, что обнаружение шпионского бэкдора нужно разбирать как возможную подготовку к разрушительной атаке, ведь между проникновением и уничтожением данных лежал промежуток с середины июля до середины сентября. Резервные копии, изолированные от домена, остаются последней защитой от вайперов, потому что выкуп здесь не предусмотрен.

Ранее сообщалось, что 42-летний гражданин России и Украины Олег Корниев признал вину в организации международной схемы по отмыванию денег, похищенных киберпреступниками. Он руководил сетью Your Mule Cashout (YMCO), которая с сентября 2007 года завербовала более 15 тысяч жителей США для работы денежными курьерами, передававшими средства, украденные хакерами у банковских клиентов. Корниеву грозит от 2 до 50 лет лишения свободы.