Jena - Ungewöhnliche Zusammenarbeit bei einem zerstörerischen Cyberangriff: Sicherheitsforscher von ESET haben dokumentiert, wie zwei russische Hackergruppen beim Angriff auf einen ukrainischen Getreidelogistikbetrieb arbeitsteilig vorgingen. Die Spionagegruppe UAC-0099 verschaffte sich im Juli 2025 Zugang zum Unternehmensnetz und übergab ihn an Sandworm. Die dem russischen Militärgeheimdienst GRU zugerechneten Hacker führten dort im September einen Angriff zur Datenlöschung aus. Die jetzt veröffentlichte Untersuchung zeigt, wie aus einem Einbruch durch eine Spionagegruppe gezielte Sabotage wurde.
Die Attacke begann am 16. Juli 2025 mit einer gezielten Phishing-E-Mail mit schädlichem Anhang. Anschließend kamen zwei bekannte Schadprogramme von UAC-0099 zum Einsatz: Der Downloader MATCHBOIL lud weitere Malware nach, darunter die Backdoor MATCHWOK. Bereits einen Tag später installierten die Angreifer eine zuvor unbekannte Backdoor, die ESET MythicRatatoskr nennt. Mit ihr konnten sie Rechner fernsteuern, Dateien übertragen und Bildschirmaufnahmen anfertigen. Später fanden die Forscher die Schadsoftware auf weiteren Rechnern des Unternehmens."Einen Tag später installierten die Angreifer MythicRatatoskr, die mit einem Steuerungsserver innerhalb des Yggdrasil-Mesh-Netzwerks kommuniziert. Wir haben die Backdoor bisher nirgendwo sonst beobachtet und Hinweise darauf gefunden, dass auch eine Linux-Variante existieren könnte", sagt ESET-Forscher Anton Cherepanov, der den Angriff untersuchte.Zwei Monate nach dem Einbruch folgte der LöschangriffAm 17. September 2025 beobachtete ESET den zerstörerischen Angriff im Unternehmensnetz. Die Angreifer missbrauchten dafür SDelete, ein legitimes Werkzeug zum Löschen von Daten. Sie verteilten es über Gruppenrichtlinien in Active Directory, der zentralen Windows-Verwaltung. Dieses Vorgehen haben die Forscher bereits mehrfach bei Sandworm beobachtet. Angaben zum Umfang der gelöschten Daten oder zu den Folgen für den Betrieb enthält die Untersuchung nicht.ESET ordnet den ersten Einbruch UAC-0099 und den späteren Löschangriff Sandworm zu. Mit hoher Sicherheit gehen die Forscher davon aus, dass UAC-0099 den Zugang während des Angriffsverlaufs an Sandworm übergab. Der genaue Zeitpunkt bleibt offen. Auch konnten sie bislang nicht bestimmen, welche der beiden Gruppen MythicRatatoskr hauptsächlich bediente.UAC-0099 betreibt Cyberspionage gegen Behörden, Finanzinstitute und Medien in der Ukraine. Aufgrund dieser Ziele geht ESET mit mittlerer Sicherheit davon aus, dass die Gruppe russische Interessen verfolgt. Sandworm ist vor allem für zerstörerische Angriffe bekannt. Die Zuordnung zur GRU-Einheit 74455 wird unter anderem durch die 2020 veröffentlichte Anklage des US-Justizministeriums gestützt.Neue Backdoor erschwert die Suche nach dem SteuerungsserverMythicRatatoskr nutzt für ihre Kommunikation das dezentrale Yggdrasil-Netzwerk. Es verbindet Rechner über das Internet und verschlüsselt den Datenverkehr zwischen ihnen Ende zu Ende. Der Steuerungsserver der Backdoor befindet sich innerhalb dieses Netzwerks. Das erschwerte es den ESET-Forschern, seinen physischen Standort zu bestimmen.Yggdrasil ist ein legitimes Netzwerkprojekt und bietet keine Anonymität. Darauf weist auch die Dokumentation des Projekts hin. Die Angreifer missbrauchten seine Infrastruktur für die Kommunikation mit den kompromittierten Rechnern.Zusammenarbeit bereits in weiteren Fällen beobachtetDie Übergabe zwischen UAC-0099 und Sandworm ist Teil eines bereits beobachteten Musters. ESET hatte die Weitergabe von Zugängen zwischen beiden Gruppen im APT Activity Report für das zweite und dritte Quartal 2025 beschrieben. Die aktuelle Untersuchung rekonstruiert nun den konkreten Ablauf bei einem betroffenen Unternehmen. Bereits im September 2025 veröffentlichte ESET zudem eine Analyse zur Zusammenarbeit der russlandnahen Gruppen Gamaredon und Turla.Für Sicherheitsverantwortliche in Deutschland, Österreich und der Schweiz zeigt der Fall, weshalb ein Einbruch nicht allein anhand der zuerst erkannten Hackergruppe bewertet werden sollte: Übernimmt eine weitere Gruppe den Zugang, können sich Ziel und Vorgehen des Angriffs ändern. Eine Betroffenheit von Unternehmen in DACH oder Auswirkungen auf deren Lieferketten belegt die Untersuchung nicht.Die ausführliche technische Analyse veröffentlicht ESET Research im Beitrag "MythicRatatoskr: Eine Yggdrasil-basierte Hintertür ( https://www.welivesecurity.com/de/eset-research/mythicratatoskr-eine-yggdrasil-basierte-hintertur )".(Ende)Aussender: ESET Deutschland GmbH Ansprechpartner: Philipp Plum Tel.: +49 3641 3114 141 E-Mail: philipp.plum@eset.com Website: www.eset.de