Des hackers liés à la Russie ont employé pour la première fois le réseau bénévole Yggdrasil pour masquer une attaque contre une entreprise ukrainienne de logistique céréalière, qui s'est achevée par la destruction de données au moyen de l'outil légitime SDelete de Microsoft.
La société de cybersécurité ESET a indiqué que des hackers liés à la Russie avaient utilisé le réseau bénévole Yggdrasil pour masquer leurs communications lors d'une attaque contre une entreprise ukrainienne de logistique céréalière, ce qui constitue la première utilisation documentée de cette technologie par un groupe de pirates informatiques lié à un État.
L'attaque s'est achevée par la destruction de données au sein de l'entreprise, qui fait partie du vital secteur exportateur agricole de l'Ukraine. L'agriculture représentait environ un cinquième de l'économie ukrainienne et près de la moitié de ses exportations avant la guerre, selon des estimations issues de travaux de recherche.
ESET a rattaché l'intrusion de juillet 2025 à un courriel d'hameçonnage envoyé dans le cadre d'une campagne en cours ciblant des entreprises de logistique, des sociétés céréalières et des terminaux portuaires en Ukraine, a indiqué le chercheur Anton Cherepanov.
Les attaquants ont installé un programme qui leur permettait de contrôler à distance les machines infectées, d'examiner des fichiers, de capturer des écrans et de dérober des documents. Ce programme communiquait via un serveur dissimulé au sein de Yggdrasil, un réseau expérimental administré par des bénévoles et dépourvu de propriétaire central.
« Comme il s'agit d'un réseau maillé, il est plus difficile à détecter », a déclaré M. Cherepanov. ESET a précisé n'avoir jamais observé auparavant d'attaques liées à un État employant ce réseau.
Après avoir obtenu des privilèges d'administrateur, les attaquants ont activé un outil d'effacement qui a supprimé les données des machines touchées, a expliqué M. Cherepanov. L'outil utilisé était SDelete, un utilitaire légitime de Microsoft conçu pour supprimer des fichiers de manière définitive.
« Ils ont détourné cet outil légitime », a-t-il affirmé.
Microsoft n'a pas répondu dans l'immédiat à une demande de commentaire.
ESET a indiqué qu'elle n'avait pas pu déterminer à quoi servaient les systèmes affectés et ne pouvait confirmer si l'attaque avait interrompu les opérations céréalières.
L'intrusion initiale a été menée par un groupe de pirates informatiques lié à la Russie connu sous le nom d'UAC-0099, qui, selon ESET, est spécialisé dans l'obtention d'accès à des réseaux. La destruction de données qui a suivi présentait les caractéristiques de Sandworm, un groupe largement lié au renseignement militaire russe et auquel ont été attribuées auparavant des cyberattaques contre les infrastructures électriques de l'Ukraine et de la Pologne.
ESET a estimé qu'UAC-0099 avait obtenu l'accès puis l'avait transmis à Sandworm, mais a indiqué qu'elle n'avait pas pu déterminer quel groupe avait exploité la porte dérobée inédite utilisée entre l'intrusion et la destruction des données.
La société a refusé d'identifier l'entreprise victime.
