Пов'язані з Росією хакери використали децентралізовану мережу Yggdrasil для приховування своїх дій під час кібератаки на українську зернову логістичну компанію. Унаслідок атаки було знищено дані на комп'ютерах підприємства. Дослідники ESET вперше зафіксували використання цієї технології хакерським угрупованням, пов'язаним із державою.
Про це повідомляє Reuters із посиланням на дослідження компанії з кібербезпеки ESET.
За даними дослідників, зловмисники проникли до систем української компанії у липні 2025 року через фішинговий електронний лист зі шкідливим вкладенням. Атака була частиною ширшої кампанії, спрямованої проти логістичних підприємств, зернових компаній та портових терміналів України.
Після отримання доступу хакери встановили програмне забезпечення, яке дозволяло дистанційно керувати зараженими комп'ютерами, переглядати файли, робити знімки екрана та викрадати документи.
Для приховування зв'язку зі шкідливим програмним забезпеченням зловмисники використали Yggdrasil - експериментальну децентралізовану мережу, яка працює без єдиного центра управління та підтримується добровольцями.
Дослідник ESET Антон Черепанов пояснив, що через особливості побудови такої мережі виявляти підозрілу активність складніше. За його словами, раніше компанія не фіксувала використання Yggdrasil хакерськими групами, пов'язаними з державними структурами.
Отримавши права адміністратора, нападники застосували інструмент SDelete, розроблений Microsoft для безповоротного видалення файлів. Унаслідок цього дані на уражених комп'ютерах були знищені.
Фахівці ESET встановили, що початкове проникнення здійснило пов'язане з Росією угруповання UAC-0099, яке спеціалізується на отриманні доступу до комп'ютерних мереж.
Подальше знищення даних мало ознаки діяльності угруповання Sandworm, яке пов'язують із російською військовою розвідкою. Раніше його звинувачували в кібератаках на енергетичну інфраструктуру України та Польщі.
За оцінкою ESET, UAC-0099 могло передати отриманий доступ угрупованню Sandworm. Водночас дослідники не змогли встановити, яка саме група керувала шкідливим програмним забезпеченням між початковим проникненням і знищенням даних.
Назву постраждалої української компанії не розголошують. Також наразі невідомо, чи вплинула кібератака на її діяльність та операції з перевезення зерна.
За даними дослідження, початкове проникнення відбулося в липні 2025 року, а знищення даних - 17 вересня того самого року. Результати розслідування оприлюднили 22 жовтня 2026 року.
