ESET: Sandworm ו-UAC-0099 שיתפו פעולה במתקפת מחיקה על חברת לוגיסטיקה אוקראינית

חוקרי ESET מתארים מתקפה הרסנית על חברת לוגיסטיקה באוקראינה בשנת 2025, שבה שני שחקנים חברו: אחד פרץ והשני מחק. הפרט המעניין הוא דלת אחורית חדשה שמסתירה את התקשורת שלה ברשת מש.

הפרטים

ESET מייחסת את הגישה הראשונית לקבוצה UAC-0099 (הידועה גם כ-Earth Sirrush). ב-16 ביולי 2025 הגיע אימייל פישינג ממוקד עם קובץ מצורף זדוני, ובעקבותיו הותקנה דלת אחורית בשם MATCHWOK באמצעות מוריד בשם MATCHBOIL. בערך יום אחרי כן הופעלה דלת אחורית נוספת שלא תועדה קודם, MythicRatatoskr. היא מתקשרת עם שרת השליטה דרך רשת Yggdrasil, ויודעת להריץ פקודות, לצלם מסך, להעביר קבצים ולפתוח פרוקסי SOCKS5 הפוך.

ב-17 בספטמבר 2025, יותר משני חודשים אחרי החדירה, Sandworm (קבוצה רוסית הקשורה למדינה) מחקה נתונים בעזרת הכלי SDelete, שהופץ דרך Group Policy של Active Directory. העברת גישה כזו בין קבוצות תואמת דפוס ש-ESET כבר תיעדה בדוח קודם.

נקודות לשים לב

אם אתה מגן על חברות לוגיסטיקה, תחבורה או תשתית: בדוק תנועה ותוכנה של Yggdrasil או רשתות שכבת-על אחרות שאינן מוכרות לארגון.
עקוב אחרי שינויים ב-Group Policy והרצה לא צפויה של sdelete או מחיקה המונית של קבצים. זה השלב האחרון בשרשרת, וסימן שהמתקפה כבר מתקדמת.
הפער של יותר משני חודשים בין החדירה למחיקה מראה שזיהוי מוקדם של הדלת האחורית הוא ההזדמנות העיקרית. חפש גם פרוקסי SOCKS חריגים ו-cmd.exe שמופעל מתהליכים לא רגילים.
הכתבה לא כוללת אינדיקטורים. את ה-IoC המלאים יש לקחת מדוח ESET עצמו. הדגימה שנותחה היא ל-Windows, ואין אישור לקיומה של גרסת Linux.