Російські хакери атакували українську логістику через Yggdrasil — ESET
Російська група UAC-0099 вперше використала децентралізовану мережу Yggdrasil для приховування комунікацій під час атаки на українське зернотрейдингове підприємство у липні 2025 року.
Дослідники компанії з кібербезпеки ESET виявили, що російські державні хакери застосували принципово новий метод атаки на українську логістичну компанію у сектора зерноекспорту. Група UAC-0099 використала волонтерську децентралізовану мережу Yggdrasil для маскування своїх комунікацій — це перша задокументована кібератака зі державним слідом, яка залучила цю технологію. Атака завершилася масовим знищенням даних на інфікованих системах.
Механізм атаки та використані інструменти
Вторгнення розпочалося у липні 2025 року через фішингову розсилку електронних листів, спрямовану на логістичні фірми, зернові підприємства та портові термінали в Україні, як пояснив дослідник Антон Черепанов. Атакуючи встановили шпигунське програмне забезпечення, яке давало їм змогу дистанційно керувати скомпрометованими комп'ютерами, переглядати файли, захоплювати вікна екрана та викрадати документи.
Команда UAC-0099 отримала адміністративні привілеї, після чого активувала утиліту видалення даних SDelete — стандартний інструмент Microsoft для остаточного стирання файлів. «Вони зловживали цим законним інструментом», — наголосив Черепанов. Microsoft підтвердила, що SDelete — це легітимний адміністративний засіб, який IT-фахівці використовують для безпечного видалення інформації, проте його можуть експлуатувати зловмисники з вже отриманим доступом до мережі.
Роль Sandworm та невизначена ланка атаки
ESET встановила, що знищення даних на припиненому етапі несло ознаки діяльності групи Sandworm — гакерської команди, тісно пов'язаної з російською військовою розвідкою, яка раніше вчиняла кібератаки на енергетичну інфраструктуру України та Польщі. Дослідники припускають, що UAC-0099 спеціалізується на проникненні в системи й передачі доступу партнерам, тоді як Sandworm відповідала за деструктивну фазу.
Однак ESET не змогла точно визначити, яка з груп експлуатувала ранісдиме невідомий backdoor, який був задіяний між перехопленням мережі та знищенням даних. Компанія також не підтвердила, чи атака зупинила реальні операції по транспортуванню зерна та відмовилася розкрити ім'я постраждалого підприємства.
Значення для сектора й економіки України
Атака дотиснулась до учасника сільськогосподарського сектору, який становив до початку війни приблизно п'яту частину економіки України й формував майже половину її експортних надходжень. Така спрямованість підкреслює стратегічний характер операції та уразливість критичної інфраструктури під час конфлікту.
Що таке Yggdrasil-мережа й чому її складніше виявити?
Yggdrasil — це експериментальна волонтерська децентралізована мережа без центрального власника. На відміну від звичайних архітектур, вона розташована як сіткова структура, що утруднює виявлення й блокування комунікацій хакерів через традиційні методи моніторингу.
Чи це перший випадок використання Yggdrasil державними хакерами?
Так, ESET повідомила, що це перша задокументована атака від групи, пов'язаної з державою, яка залучила цю децентралізовану мережу для маскування своїх комунікацій. Раніше такої практики спостерігано не було.
Як хакери отримали доступ до системи?
Група UAC-0099 розпочала атаку через фішингову електронну листу, спрямовану на працівників логістичних і зернотрейдингових компаній. Після переходу на шкідливе посилання система інфікувалась дистанційно керованим програмним забезпеченням.
Чи пошкодила атака реальним операціям зернового експорту?
ESET не змогла підтвердити, чи вторгнення насправді перервало процеси транспортування зерна. Дослідники так і не встановили точне призначення скомпрометованих систем.
