O grupo de hackers ligado ao Estado russo Sandworm se uniu a outro agente de ameaças para realizar um ataque destrutivo de apagamento de dados contra uma empresa de logística ucraniana no ano passado.
Segundo a ESET, o ataque envolveu o UAC-0099 (também conhecido como Earth Sirrush), que obteve acesso inicial ao alvo em 16 de julho de 2025, por meio de um e-mail de phishing direcionado com um anexo contaminado por malware. Esse anexo levou à implantação da backdoor MATCHWOK por meio de um downloader chamado MATCHBOIL.
A atividade culminou com o agente de ameaças repassando o acesso ao Sandworm, que então conduziu um ataque de apagamento de dados em 17 de setembro de 2025, mais de dois meses depois de obter uma posição no sistema.
O que torna o ataque notável é o uso, pelo UAC-0099, de uma backdoor até então não documentada chamada MythicRatatoskr. O malware se comunica com um servidor de comando e controle (C2) hospedado dentro da rede mesh Yggdrasil. A backdoor foi implantada um dia depois da execução do MATCHWOK.
Há indícios de que o desenvolvimento da backdoor começou entre dezembro de 2024 e fevereiro de 2025. Sua funcionalidade é bastante simples: envia metadados da vítima ao servidor C2, consulta novos comandos, transmite a saída dos comandos, captura telas e faz upload e download de arquivos.
Ela também pode alterar o diretório de trabalho atual, listar o conteúdo de diretórios, mudar a URL do servidor C2, executar comandos de shell por meio do “cmd.exe” e iniciar um proxy SOCKS5 reverso (protocolo de proxy). Além disso, alguns artefatos incluem um atraso de inicialização de 10 minutos, provavelmente para evitar a conexão imediata à rede Yggdrasil e escapar da detecção.
“Até onde sabemos, este é o primeiro caso documentado de abuso da Yggdrasil dessa maneira por um agente de ameaças alinhado a um Estado, e pode sinalizar uma tendência mais ampla de adversários adotarem redes experimentais ponto a ponto para aumentar a resiliência e a discrição de sua infraestrutura”, afirmaram os pesquisadores da ESET Anton Cherepanov e Peter Strýček.
O MythicRatatoskr teria sido usado para implantar um servidor SOCKS5 e direcionar conexões pela rede comprometida. O ataque culminou com o Sandworm realizando o apagamento de dados ao disseminar o utilitário SDelete por meio da Política de Grupo do Active Directory. Vale notar que o malware NikoWiper, ligado ao Sandworm, também é derivado do SDelete.
Embora o ataque investigado pela ESET tenha comprometido um sistema Windows, referências a “crond” no código-fonte do MythicRatatoskr sugerem que pode existir uma versão equivalente do malware para Linux.
Cooperação não é novidade
A avaliação de que o UAC-0099 provavelmente colabora com o Sandworm não é inédita. Em seu relatório de atividades de ameaças persistentes avançadas (APT) do segundo trimestre de 2025 ao terceiro trimestre de 2025, a ESET afirmou ter observado o UAC-0099 conduzindo operações de acesso inicial e, em seguida, transferindo “alvos validados” ao Sandworm para exploração pós-comprometimento.
Esses ataques tiveram como alvo os setores governamental, de energia, logística e de grãos na Ucrânia, observou na ocasião a empresa de cibersegurança eslovaca.
Esse tipo de cooperação entre atores alinhados à Rússia também não é novidade. No ano passado, a ESET disse ter identificado evidências de que Gamaredon e Turla trabalhavam juntos para atingir e comprometer conjuntamente entidades ucranianas. Em uma das intrusões, o Gamaredon utilizou o PteroGraphin para implantar a backdoor Kazuar, da Turla.
Além disso, um downloader ligado ao Gamaredon chamado Pterodo tem sido usado para baixar e executar o InvisiMole, um spyware modular usado contra alvos na Ucrânia e na Rússia.
“Esse tipo de cooperação evidencia o potencial para campanhas coordenadas de espionagem cibernética entre grupos alinhados à Rússia, provavelmente com o objetivo de ampliar seu impacto operacional”, afirmou a ESET.
