Перетворивши цивільні технології приватності на зброю, пов'язані з Кремлем хакери випробували в Україні нову тактику прихованих кібератак, яка незабаром може загрожувати західній інфраструктурі. Про це пише Валентин Гладких, експерт аналітичного центру «Об’єднана Україна», політичний аналітик у своїй статті для The Gaze. Ця версія публікації є перекладом українською мовою.
Двадцять другого жовтня словацька компанія з кібербезпеки ESET оприлюднила дослідження раніше невідомого бекдору, який приховував свій сервер командування та керування всередині Yggdrasil — децентралізованої mesh-мережі, яку підтримують волонтери. Шкідлива програма, названа MythicRatatoskr, проклала шлях до руйнівної атаки на українську компанію у сфері зернової логістики, яка завершилася знищенням даних компанії.
ESET характеризує це як перший задокументований випадок, коли пов'язане з державою угруповання загроз зловживає цією мережею в такий спосіб. Цивільну технологію, створену для забезпечення приватності та стійкості, перетворено на прикриття для операції військової розвідки.
Волонтерська мережа без власника стала командною інфраструктурою
Ланцюжок цієї атаки варто викласти докладно, адже кожен окремий крок у ньому є звичайним, а їхнє поєднання — ні. Шістнадцятого липня 2025 року угруповання, яке відстежують під назвою UAC-0099, отримало доступ до компанії через цільовий фішинговий лист зі шкідливим вкладенням, що призвело до запуску бекдору під назвою MATCHWOK.
Через день зловмисники розгорнули MythicRatatoskr, написаний мовою Go, який підтримував зв'язок із сервером, розміщеним усередині Yggdrasil. Потім доступ було передано угрупованню Sandworm, яке пов'язують із військовою частиною 74455 російської військової розвідки; воно знищило дані за допомогою SDelete — легітимної утиліти Microsoft. ESET представила результати дослідження на конференції LABScon у вересні та на конференції Virus Bulletin у жовтні.
Саме Yggdrasil є тим елементом, що змінює завдання для захисників. Це експериментальна мережа, яку підтримують волонтери, у якій IPv6-трафік між вузлами захищено наскрізно, без центрального власника і без оператора, до якого можна було б звернутися. Традиційне знешкодження командної інфраструктури спирається на централізовані вузькі місця, оскільки захисники вилучають домени, співпрацюють із реєстраторами, тиснуть на хостинг-провайдерів або перенаправляють адреси в sinkhole.
Жодного з цих важелів тут не існує. Як зазначив дослідник ESET Антон Черепанов, mesh-мережу просто важче виявити, а в поєднанні з використанням підписаного інструмента Microsoft на руйнівному етапі ця техніка залишає дуже мало того, що міг би перехопити звичайний список блокування.
Вибір цілі — частина послання
Жертву теж обрали не випадково. До повномасштабної війни на сільське господарство припадала приблизно п'ята частина економіки України, а також майже половина її експорту, і ESET простежила зв'язок цього вторгнення з ширшою фішинговою кампанією, спрямованою проти логістичних фірм, зернових компаній і портових терміналів. Та сама компанія вже раніше задокументувала, як у період із червня по вересень 2025 року Sandworm застосовувало вайпери проти зернового, енергетичного та логістичного секторів України.
Якщо розглядати це поряд із кампанією ударів дронами та ракетами по Одесі, Ізмаїлу та чорноморському судноплавству, вимальовується картина єдиної кампанії, що ведеться у двох вимірах проти одного й того самого експортного ланцюга.
Історія Sandworm пояснює, чому це має значення й за межами України. Саме це угруповання стоїть за Industroyer та його наступником Industroyer2, які використовувалися для відключення електроенергії в Україні у 2016 році й знову у 2022 році, а також його пов'язують з атаками на енергетичну інфраструктуру Польщі. Упродовж десятиліття його модель дій полягала в тому, щоб розробляти й випробовувати методи на українських цілях, а потім застосовувати їх ширше — найруйнівніше тоді, коли NotPetya вирвався в глобальні мережі судноплавних і фармацевтичних компаній. Техніка, яка з'являється в мережі української зернової компанії у 2025 році, є обґрунтованим прогнозом того, з чим зіткнуться європейські логістичні оператори.
Децентралізована інфраструктура усуває звичні засоби захисту
Для захисників операційний урок полягає у зміщенні того, де має відбуватися виявлення. Списки блокування адрес і доменів втрачають цінність, коли командний трафік проходить мережею, яка нікому не належить, і це перекладає тягар на телеметрію кінцевих пристроїв, виявлення аномалій та увагу до неочікуваного тунелювання чи незнайомих mesh-клієнтів усередині корпоративних середовищ.
Це також є аргументом на користь суворішого контролю над легітимними адміністративними утилітами, на користь офлайнових і сегментованих резервних копій — з огляду на те, що фінальним етапом тут було видалення, а не шифрування, — а також на користь того, щоб розглядати зернотрейдерів, вантажоперевізників і портових операторів як критичну інфраструктуру, а не як звичайних комерційних постачальників.
Питання державної політики потребує виваженості. Розробники Yggdrasil створили відкриту мережу саме для того, щоб її неможливо було контролювати з однієї точки, і ці самі властивості захищають журналістів, дисидентів і користувачів, які перебувають в умовах цензури.
Трактування цього інциденту як аргументу на користь обмеження децентралізованих мереж покарало б не тих людей і не завдало б незручностей державній розвідувальній службі, яка за потреби може побудувати власну оверлейну мережу. Дієва відповідь пролягає через виявлення, стійкість та обмін інформацією між дослідниками й операторами, а не через обмеження.
Цей випадок підтверджує, що супротивник тепер використовує архітектуру відкритого інтернету, а не бореться з нею. Україна знову стала місцем, де метод з'являється вперше, і це дає європейським та американським захисникам часове вікно між першим виявленням і ширшим розгортанням.
Це вікно і є всією перевагою, і зазвичай воно коротке. Власна оцінка ширшої картини від ESET полягає в тому, що російські кібератаки проти України посилюються, а Sandworm продовжує вводити в дію нові руйнівні інструменти, — це свідчить про те, що наступна техніка вже десь використовується і просто ще не була описана.
Цей випадок підтверджує, що супротивник тепер використовує архітектуру відкритого інтернету, а не бореться з нею. Україна знову стала місцем, де метод з'являється вперше, і це дає європейським та американським захисникам часове вікно між першим виявленням і ширшим розгортанням. Це вікно і є всією перевагою, і зазвичай воно коротке. Власна оцінка ширшої картини від ESET полягає в тому, що російські кібератаки проти України посилюються, а Sandworm продовжує вводити в дію нові руйнівні інструменти, — це свідчить про те, що наступна техніка вже десь використовується і просто ще не була описана.