|
Jena (ots) - Ungewöhnliche Zusammenarbeit bei einem zerstörerischen
Cyberangriff: Sicherheitsforscher von ESET haben dokumentiert, wie zwei
russische Hackergruppen beim Angriff auf einen ukrainischen
Getreidelogistikbetrieb arbeitsteilig vorgingen. Die Spionagegruppe UAC-0099
verschaffte sich im Juli 2025 Zugang zum Unternehmensnetz und übergab ihn an
Sandworm. Die dem russischen Militärgeheimdienst GRU zugerechneten Hacker
führten dort im September einen Angriff zur Datenlöschung aus. Die jetzt
veröffentlichte Untersuchung zeigt, wie aus einem Einbruch durch eine
Spionagegruppe gezielte Sabotage wurde.
Die Attacke begann am 16. Juli 2025 mit einer gezielten Phishing-E-Mail mit
schädlichem Anhang. Anschließend kamen zwei bekannte Schadprogramme von UAC-0099
zum Einsatz: Der Downloader MATCHBOIL lud weitere Malware nach, darunter die
Backdoor MATCHWOK. Bereits einen Tag später installierten die Angreifer eine
zuvor unbekannte Backdoor, die ESET MythicRatatoskr nennt. Mit ihr konnten sie
Rechner fernsteuern, Dateien übertragen und Bildschirmaufnahmen anfertigen.
Später fanden die Forscher die Schadsoftware auf weiteren Rechnern des
Unternehmens.
"Einen Tag später installierten die Angreifer MythicRatatoskr, die mit einem
Steuerungsserver innerhalb des Yggdrasil-Mesh-Netzwerks kommuniziert. Wir haben
die Backdoor bisher nirgendwo sonst beobachtet und Hinweise darauf gefunden,
dass auch eine Linux-Variante existieren könnte", sagt ESET Forscher Anton
Cherepanov, der den Angriff untersuchte.
Zwei Monate nach dem Einbruch folgte der Löschangriff
Am 17. September 2025 beobachtete ESET den zerstörerischen Angriff im
Unternehmensnetz. Die Angreifer missbrauchten dafür SDelete, ein legitimes
Werkzeug zum Löschen von Daten. Sie verteilten es über Gruppenrichtlinien in
Active Directory, der zentralen Windows-Verwaltung. Dieses Vorgehen haben die
Forscher bereits mehrfach bei Sandworm beobachtet. Angaben zum Umfang der
gelöschten Daten oder zu den Folgen für den Betrieb enthält die Untersuchung
nicht.
ESET ordnet den ersten Einbruch UAC-0099 und den späteren Löschangriff Sandworm
zu. Mit hoher Sicherheit gehen die Forscher davon aus, dass UAC-0099 den Zugang
während des Angriffsverlaufs an Sandworm übergab. Der genaue Zeitpunkt bleibt
offen. Auch konnten sie bislang nicht bestimmen, welche der beiden Gruppen
MythicRatatoskr hauptsächlich bediente.
UAC-0099 betreibt Cyberspionage gegen Behörden, Finanzinstitute und Medien in
der Ukraine. Aufgrund dieser Ziele geht ESET mit mittlerer Sicherheit davon aus,
dass die Gruppe russische Interessen verfolgt. Sandworm ist vor allem für
zerstörerische Angriffe bekannt. Die Zuordnung zur GRU-Einheit 74455 wird unter
anderem durch die 2020 veröffentlichte Anklage des US-Justizministeriums
gestützt.
Neue Backdoor erschwert die Suche nach dem Steuerungsserver
MythicRatatoskr nutzt für ihre Kommunikation das dezentrale Yggdrasil-Netzwerk.
Es verbindet Rechner über das Internet und verschlüsselt den Datenverkehr
zwischen ihnen Ende zu Ende. Der Steuerungsserver der Backdoor befindet sich
innerhalb dieses Netzwerks. Das erschwerte es den ESET Forschern, seinen
physischen Standort zu bestimmen.
Yggdrasil ist ein legitimes Netzwerkprojekt und bietet keine Anonymität. Darauf
weist auch die Dokumentation des Projekts hin. Die Angreifer missbrauchten seine
Infrastruktur für die Kommunikation mit den kompromittierten Rechnern.
Zusammenarbeit bereits in weiteren Fällen beobachtet
Die Übergabe zwischen UAC-0099 und Sandworm ist Teil eines bereits beobachteten
Musters. ESET hatte die Weitergabe von Zugängen zwischen beiden Gruppen im APT
Activity Report für das zweite und dritte Quartal 2025 beschrieben. Die aktuelle
Untersuchung rekonstruiert nun den konkreten Ablauf bei einem betroffenen
Unternehmen. Bereits im September 2025 veröffentlichte ESET zudem eine Analyse
zur Zusammenarbeit der russlandnahen Gruppen Gamaredon und Turla.
Für Sicherheitsverantwortliche in Deutschland, Österreich und der Schweiz zeigt
der Fall, weshalb ein Einbruch nicht allein anhand der zuerst erkannten
Hackergruppe bewertet werden sollte: Übernimmt eine weitere Gruppe den Zugang,
können sich Ziel und Vorgehen des Angriffs ändern. Eine Betroffenheit von
Unternehmen in DACH oder Auswirkungen auf deren Lieferketten belegt die
Untersuchung nicht.
Die ausführliche technische Analyse veröffentlicht ESET Research im Beitrag "
MythicRatatoskr: Eine Yggdrasil-basierte Hintertür (https://www.welivesecurity.c
om/de/eset-research/mythicratatoskr-eine-yggdrasil-basierte-hintertur) ".
Pressekontakt:
ESET Deutschland GmbH
Christian Lueg
Head of Communication & PR DACH
+49 (0)3641 3114-269
mailto:christian.lueg@eset.de
Michael Klatte
PR Manager DACH
+49 (0)3641 3114-257
mailto:Michael.klatte@eset.de
Philipp Plum
PR Manager DACH
+49 (0)3641 3114-141
mailto:Philipp.plum@eset.de
Folgen Sie ESET:
https://www.ESET.de
ESET Deutschland GmbH, Spitzweidenweg 32, 07743 Jena, Deutschland
Weiteres Material: http://presseportal.de/pm/71571/6376782
OTS: ESET Deutschland GmbH
|
