Un'indagine di ESET rivela una sofisticata campagna di cyber spionaggio legata alla Russia, che impiega una backdoor inedita e la rete decentralizzata Yggdrasil per attacchi mirati, culminati in un'operazione di cancellazione dati.
Recenti analisi condotte dalla società di cybersecurity ESET hanno portato alla luce una complessa operazione di cyber spionaggio, attribuita a un gruppo di hacker legato alla Russia, che ha sfruttato una serie di tecniche innovative per infiltrarsi e colpire obiettivi specifici, in particolare in Ucraina. L'indagine ha identificato la collaborazione tra due attori malevoli distinti: UAC-0099 (noto anche come Earth Sirrush) per l'accesso iniziale e il gruppo Sandworm per le fasi successive dell'attacco, inclusa la cancellazione dei dati.
L'attacco ha avuto inizio il 16 luglio 2025, quando UAC-0099 ha ottenuto l'accesso iniziale a un sistema bersaglio attraverso un'email di spear-phishing. Questa email conteneva un allegato malevolo che, una volta aperto, ha permesso il dispiegamento di una backdoor denominata MATCHWOK, veicolata da un componente chiamato MATCHBOIL.
Ciò che rende questa campagna particolarmente degna di nota è l'utilizzo di una backdoor precedentemente sconosciuta, battezzata MythicRatatoskr. Questa nuova minaccia è stata impiegata un giorno dopo l'esecuzione di MATCHWOK e si distingue per la sua capacità di comunicare con un server di comando e controllo (C2) ospitato all'interno della rete Yggdrasil. Quest'ultima è una rete peer-to-peer decentralizzata, il cui uso da parte di attori legati a uno stato rappresenta una novità e potrebbe indicare una tendenza emergente nell'adozione di infrastrutture di rete più resilienti e difficili da tracciare.
Lo sviluppo di MythicRatatoskr sembra essere iniziato tra dicembre 2024 e febbraio 2025. Le sue funzionalità sono piuttosto standard per una backdoor: raccoglie metadati della vittima da inviare al server C2, interroga il server per nuovi comandi, trasmette i risultati dei comandi eseguiti, cattura screenshot e consente il caricamento/scaricamento di file. Inoltre, è in grado di modificare la directory di lavoro corrente, elencare il contenuto delle directory, cambiare l'URL del server C2, eseguire comandi shell tramite cmd.exe e stabilire un proxy SOCKS5 inverso. Un dettaglio interessante è la presenza di un ritardo di 10 minuti all'avvio, una tattica probabilmente volta a evitare connessioni immediate alla rete Yggdrasil e a eludere i sistemi di rilevamento.
L'indagine di ESET suggerisce una stretta collaborazione tra UAC-0099 e Sandworm, un'alleanza già osservata in passato. ESET aveva precedentemente riportato che UAC-0099 si occupava delle operazioni di accesso iniziale, per poi trasferire i "bersagli validati" a Sandworm per le fasi di post-sfruttamento. Gli obiettivi di questi attacchi, come documentato da ESET nel suo report sull'attività APT per il secondo e terzo trimestre del 2025, hanno incluso settori governativi, energetici, logistici e agricoli in Ucraina.
La cooperazione tra attori legati alla Russia non è un fenomeno nuovo. ESET ha già documentato in passato la collaborazione tra i gruppi Gamaredon e Turla, che hanno unito le forze per colpire entità ucraine, utilizzando strumenti come PteroGraphin per distribuire la backdoor Kazuar di Turla. Analogamente, un downloader legato a Gamaredon, chiamato Pterodo, è stato impiegato per recuperare ed eseguire InvisiMole, un programma spyware modulare utilizzato contro bersagli in Ucraina e Russia.
L'operazione ha raggiunto il suo culmine il 17 settembre 2025, oltre due mesi dopo l'ottenimento del primo accesso, quando il gruppo Sandworm ha condotto un attacco di cancellazione dati (wiping). Questo è stato realizzato distribuendo l'utility SDelete tramite le Group Policy di Active Directory. È rilevante notare che il malware NikoWiper, anch'esso associato a Sandworm, deriva da SDelete, indicando una familiarità e un riutilizzo di strumenti specifici per questo tipo di attacco distruttivo.
Sebbene l'indagine di ESET si sia concentrata su un sistema Windows compromesso, riferimenti nel codice sorgente di MythicRatatoskr al comando crond suggeriscono la possibile esistenza di una versione equivalente del malware per sistemi Linux. Questo amplierebbe ulteriormente il potenziale impatto di future campagne che utilizzassero questa infrastruttura.
La collaborazione tra gruppi come UAC-0099 e Sandworm, e in precedenza Gamaredon e Turla, sottolinea la crescente tendenza verso campagne di cyber spionaggio coordinate tra attori legati alla Russia, con l'obiettivo di amplificare l'impatto operativo. L'adozione di reti peer-to-peer come Yggdrasil da parte di questi attori rappresenta una sfida significativa per le difese tradizionali, poiché tali reti sono intrinsecamente più resilienti e difficili da monitorare e bloccare. Questo sviluppo potrebbe segnalare un futuro in cui gli avversari sfrutteranno sempre più reti decentralizzate per aumentare la furtività e la persistenza delle loro infrastrutture.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
