Одного фишингового письма хватило, чтобы спустя два месяца атакующие начали уничтожать корпоративные данные. Компания ESET раскрыла детали взлома украинской компании, занятой зерновой логистикой. Первое проникновение произошло 16 июля 2025 года, а 17 сентября злоумышленники запустили средства удаления файлов. Название пострадавшей организации не раскрывается.
Началом послужило адресное письмо с вредоносным вложением. После запуска содержимого на компьютере появился загрузчик MATCHBOIL, который установил бэкдор MATCHWOK. Уже 17 июля атакующие доставили ещё одну программу, ранее неизвестную ESET, под названием MythicRatatoskr. Позднее копии MythicRatatoskr обнаружили на других машинах предприятия, куда файлы передавали через OpenSSH SFTP.
Необычную роль в атаке сыграла сеть Yggdrasil. Вместо сервера управления, доступного напрямую через интернет, MythicRatatoskr связывался с командным узлом внутри децентрализованной сети. Yggdrasil соединяет участников по IPv6 и защищает обмен сквозным шифрованием. Архитектура осложнила поиск физического сервера, хотя сама сеть не гарантирует анонимности.
При каждом запуске MythicRatatoskr создавал новый криптографический ключ, из-за чего менялся IPv6-адрес заражённой машины. В коде находился список из 32 общедоступных узлов Yggdrasil, для подключения случайно выбирались три. Затем бэкдор связывался с управляющим сервером по HTTPS через порт 443. Обычные средства мониторинга могли не видеть адрес конечного узла.
Бэкдор умел выполнять команды Windows, пересылать файлы, делать снимки экрана и создавать прокси-соединения. При подключении программа отправляла имя пользователя, название компьютера и параметры сети. На нескольких машинах ESET также обнаружила отдельный SOCKS5-сервер. По оценке компании, злоумышленники, вероятно, установили дополнительный инструмент через MythicRatatoskr.
Вредонос закреплялся как служба Windows под названием ieupdate, а некоторые сборки маскировались под системные компоненты. Часть образцов ждала десять минут перед подключением к Yggdrasil, предположительно для обхода обнаружения. Следы в конфигурации указывают на возможную версию для Linux, однако подтверждений существования или применения такой сборки ESET пока не представила.
17 сентября атакующие перешли к уничтожению информации. Для удаления использовали SDelete, штатную утилиту Microsoft, а распространить программу помогли групповые политики Active Directory. Такой механизм позволяет запускать действия сразу на множестве компьютеров домена. Масштаб потерь и возможные перебои в работе зерновой компании публично не установлены.
ESET с высокой уверенностью считает, что начальное проникновение и уничтожение данных проводили разные участники, передавшие друг другу доступ к сети. Кто именно управлял MythicRatatoskr, определить не удалось. Компания также указывает, что соединения с публичными узлами Yggdrasil можно блокировать, даже если командный сервер скрыт внутри децентрализованной сети.
