Due mesi di accesso aprono la strada al wipe di Sandworm
ESET collega l’accesso ottenuto da UAC-0099 nel luglio 2025 al wipe compiuto da Sandworm il 17 settembre contro una società logistica ucraina: tra i due eventi sono passati più di due mesi. L’indagine ricostruisce il passaggio dell’accesso da un attore all’altro.
La backdoor MythicRatatoskr nascondeva il canale di comando dentro Yggdrasil, una rete mesh peer-to-peer, invece di collegarsi a un normale server su Internet. Il suo traffico è quindi più difficile da distinguere da quello di una connessione convenzionale. ESET non ha stabilito con certezza quale gruppo gestisse la backdoor.
Per le organizzazioni che indagano su intrusioni di spionaggio, chiudere l’accesso del primo attore non significa necessariamente aver contenuto l’incidente: quell’accesso può essere riutilizzato mesi dopo da un altro gruppo per un’operazione distruttiva. In questo caso, il wipe è stato esteso tramite Group Policy oltre il sistema Windows inizialmente raggiunto.
Russian hackers teamed up to wipe data at Ukrainian grain firm
The Russian state-linked hacking group Sandworm collaborated with another threat actor to carry out a destructive cyberattack against a Ukrainian grain logistics company last year, researchers said Thursday.