Phishing por e-mail abre caminho para ataque destrutivo na Ucrânia

Hackers ligados à Rússia usaram a rede descentralizada Yggdrasil para ocultar comunicações em ataque que destruiu dados na Ucrânia

Um grupo de hackers associado à Rússia utilizou a rede descentralizada Yggdrasil para esconder suas comunicações durante um ataque contra uma companhia ucraniana de logística de grãos. De acordo com um relatório da ESET, essa foi a primeira utilização documentada da tecnologia por um grupo de cibercriminosos vinculado a um Estado.

A invasão aconteceu em julho de 2025 e resultou na destruição de dados nos computadores atingidos. Antes do início da guerra, o setor agrícola representava aproximadamente 20% da economia ucraniana e era responsável por quase metade das exportações do país.

Rede descentralizada dificultou a detecção
A ESET identificou que a invasão começou com um e-mail de phishing enviado durante uma campanha direcionada a empresas de logística, negócios do setor de grãos e terminais portuários ucranianos. Depois de invadir a rede, os criminosos instalaram um software de acesso remoto que possibilitava controlar computadores, visualizar arquivos, registrar capturas de tela e copiar documentos.

As comunicações do programa eram encaminhadas por um servidor oculto na Yggdrasil, uma rede experimental administrada por voluntários e que não possui uma entidade central responsável por seu funcionamento. De acordo com Anton Cherepanov, pesquisador da ESET, a arquitetura em malha da rede torna mais difícil identificar esse tipo de tráfego.

“Por ser uma rede em malha, é mais difícil de detectar”, explicou Cherepanov. A empresa de segurança também informou que, até então, não havia identificado ataques associados a grupos ligados a governos que utilizassem essa tecnologia.

Ferramenta legítima foi usada para apagar dados
Após conseguir permissões de administrador, os hackers utilizaram o SDelete, uma ferramenta legítima da Microsoft criada para excluir arquivos de forma permanente.

“Eles abusaram dessa ferramenta legítima”, afirmou Cherepanov.

A investigação apontou o grupo UAC-0099, associado à Rússia e especializado em invadir redes, como responsável pelo acesso inicial aos sistemas. Já a fase de destruição dos dados apresentou indícios relacionados ao Sandworm, grupo frequentemente vinculado à inteligência militar russa e anteriormente responsabilizado por ataques contra infraestruturas energéticas na Ucrânia e na Polônia.

De acordo com a análise da ESET, o grupo UAC-0099 foi responsável por invadir a rede e repassar o acesso ao Sandworm. Entretanto, os pesquisadores não conseguiram identificar qual das duas organizações controlava a porta dos fundos utilizada para manter o acesso aos sistemas entre a invasão inicial e a etapa de destruição dos dados.

A investigação identificou três pontos centrais:

• Invasão inicial: o UAC-0099 foi apontado como responsável pela entrada na rede.
  
• Transferência de acesso: a ESET avalia que o acesso foi repassado ao Sandworm.
  
• Autoria ainda indefinida: não foi possível identificar qual grupo operou a porta dos fundos antes da destruição dos dados.

A ESET não revelou a identidade da companhia afetada nem informou se o incidente causou paralisações em suas atividades. Já a Microsoft não forneceu uma resposta imediata à solicitação de posicionamento.

Fonte: Olhar Digital