O grupo de hackers Sandworm, patrocinado pelo Estado russo, aliou-se a outro threat actor para realizar, no ano passado, um ataque destrutivo de apagamento de dados contra uma empresa ucraniana de logística.
Segundo a ESET, a operação começou em 16 de julho de 2025, quando o grupo UAC-0099, também conhecido como Earth Sire, obteve acesso inicial ao alvo por meio de um e-mail de spear phishing com um anexo malicioso. O arquivo levou à instalação do backdoor MATCHWOK, distribuído pelo downloader MATCHBOIL.
A atividade culminou na transferência do acesso ao Sandworm, que realizou o ataque de apagamento de dados em 17 de setembro de 2025, mais de dois meses depois de obter acesso à rede.
Um aspecto incomum da operação foi o uso, pelo UAC-0099, de um backdoor até então não documentado, chamado MythicRatatoskr. Ele se comunica com um servidor de comando e controle (C2) hospedado na rede em malha Yggdrasil. O backdoor foi instalado um dia depois da execução do MATCHWOK.
Há indícios de que o desenvolvimento do MythicRatatoskr tenha começado entre dezembro de 2024 e fevereiro de 2025. Suas funções são relativamente simples: enviar informações sobre a vítima ao servidor C2, consultar novos comandos, transmitir os resultados, fazer capturas de tela e enviar ou baixar arquivos.
O programa também pode alterar o diretório de trabalho atual, listar o conteúdo de diretórios, mudar o endereço do servidor C2, executar comandos por meio do “cmd.exe” e iniciar um proxy reverso SOCKS5. Além disso, alguns exemplares incluem um atraso de 10 minutos na inicialização, possivelmente para evitar uma conexão imediata com a rede Yggdrasil e dificultar a detecção.
“Até onde sabemos, este é o primeiro caso documentado de uso malicioso da Yggdrasil dessa forma por um threat actor alinhado a um Estado. Isso pode indicar uma tendência mais ampla de adversários adotarem redes experimentais ponto a ponto para tornar sua infraestrutura mais resiliente e furtiva”, afirmaram os pesquisadores da ESET Anton Cherepanov e Peter Strýček.
O MythicRatatoskr teria sido usado para instalar um servidor SOCKS5 e encaminhar conexões pela rede comprometida. A operação terminou com o ataque de apagamento de dados do Sandworm. Para isso, o grupo distribuiu o utilitário SDelete por meio da Política de Grupo do Active Directory. Vale observar que o malware NikoWiper, associado ao Sandworm, também deriva do SDelete.
Mapa da rede Yggdrasil com o servidor C2
Embora o ataque investigado pela ESET tenha comprometido um sistema Windows, referências a “crond” no código-fonte do MythicRatatoskr sugerem que pode existir uma versão equivalente do malware para Linux.
A avaliação de que o UAC-0099 provavelmente colabora com o Sandworm não é nova. Em seu Relatório de Atividade de APT do segundo e terceiro trimestres de 2025, a ESET afirmou ter observado o UAC-0099 realizando operações de acesso inicial e, em seguida, transferindo “alvos validados” para o Sandworm, que dava continuidade à exploração dos sistemas.
Na ocasião, a empresa eslovaca de cibersegurança informou que os ataques tinham como alvo órgãos governamentais e os setores de energia, logística e grãos na Ucrânia.
Esse tipo de cooperação entre grupos alinhados à Rússia também não é inédito. No ano passado, a ESET afirmou ter encontrado evidências de que Gamaredon e Turla trabalhavam juntos para atacar e comprometer as mesmas entidades ucranianas. Em uma das invasões, o Gamaredon usou o malware PteroGraphin para instalar o backdoor Kazuar, do Turla.
Além disso, uma ferramenta de download associada ao Gamaredon, chamada Pterodo, foi usada para buscar e executar o InvisiMole, um programa modular de spyware empregado contra alvos na Ucrânia e na Rússia.
“Esse tipo de cooperação evidencia o potencial de campanhas coordenadas de espionagem cibernética entre grupos alinhados à Rússia, provavelmente destinadas a ampliar o impacto de suas operações”, afirmou a ESET.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...