Hackers vinculados à Rússia empregaram pela primeira vez a rede voluntária Yggdrasil para ocultar um ataque contra uma empresa ucraniana de logística de grãos, que culminou na destruição de dados com a ferramenta legítima SDelete, da Microsoft.
A empresa de cibersegurança ESET informou que hackers vinculados à Rússia utilizaram a rede voluntária Yggdrasil para ocultar suas comunicações durante um ataque contra uma empresa ucraniana de logística de grãos, no que constitui o primeiro uso documentado dessa tecnologia por um grupo de pirataria vinculado a um Estado.
O ataque culminou com a destruição de dados na companhia, que faz parte do vital setor exportador agrícola da Ucrânia. A agricultura representava aproximadamente um quinto da economia ucraniana e quase metade de suas exportações antes da guerra, segundo estimativas de pesquisas.
A ESET rastreou a intrusão de julho de 2025 até um e-mail de phishing enviado como parte de uma campanha em andamento direcionada a empresas de logística, companhias de grãos e terminais portuários na Ucrânia, apontou o pesquisador Anton Cherepanov.
Os atacantes instalaram um programa que lhes permitia controlar remotamente os equipamentos infectados, examinar arquivos, capturar telas e roubar documentos. Esse programa se comunicava por meio de um servidor oculto dentro da Yggdrasil, uma rede experimental administrada por voluntários e sem proprietário central.
“Por ser uma rede em malha, é mais difícil de detectar”, disse Cherepanov. A ESET assinalou que não havia observado anteriormente ataques vinculados a um Estado que empregassem essa rede.
Após obter privilégios de administrador, os atacantes ativaram uma ferramenta de apagamento que eliminou dados dos equipamentos afetados, explicou Cherepanov. A ferramenta utilizada foi o SDelete, um utilitário legítimo da Microsoft projetado para excluir arquivos de forma permanente.
“Abusaram dessa ferramenta legítima”, afirmou.
A Microsoft não respondeu de imediato a um pedido de comentário.
A ESET indicou que não conseguiu determinar para que eram utilizados os sistemas afetados e não pôde confirmar se o ataque interrompeu as operações de grãos.
A intrusão inicial foi realizada por um grupo de pirataria vinculado à Rússia conhecido como UAC-0099, que, segundo a ESET, se especializa em obter acesso a redes. A posterior destruição de dados apresentou as características do Sandworm, um grupo amplamente vinculado à inteligência militar russa e ao qual já foram atribuídos ciberataques contra a infraestrutura elétrica da Ucrânia e da Polônia.
A ESET avaliou que o UAC-0099 conseguiu obter acesso e o repassou ao Sandworm, mas indicou que não pôde determinar qual grupo operou o backdoor nunca antes visto, utilizado entre a intrusão e a destruição de dados.
A empresa declinou identificar a vítima.
