Иггдрасиль пустил вредоносные корни
Иггдрасиль пустил вредоносные корни ESET опубликовала разбор прошлогодней атаки на украинскую компанию по логистике зерна. И это первый задокументированный случай, когда государственная группировка использовала mesh-сеть Yggdrasil для сокрытия командного сервера. Атака началась 16 июля 2025 года с фишингового письма, а закончилась 17 сентября уничтожением данных через легитимную утилиту Microsoft SDelete. Yggdrasil — это экспериментальная децентрализованная сеть, которая строит зашифрованный слой поверх обычного интернета. Узлы соединяются напрямую, без центрального сервера, а трафик шифруется так, что промежуточные узлы не видят содержимого. Каждый узел получает стабильный IPv6-адрес на основе публичного ключа. Для защитников это создает отдельную головную боль, потому что C2-сервер (с которого поступают команды злоумышленников) нельзя просто отключить, заблокировав один IP или домен, ведь он растворен в сети, которую поддерживают добровольцы по всему миру. Впрочем, анонимности сеть при этом не дает. Она скрывает инфраструктуру, но не личность оператора. Форензикой удалось восстановить цепочку. Все, как обычно, началось с фишинга с PowerShell-пейлоадом. Тот поставил бэкдор MATCHWOK. На следующий день атакующие развернули MythicRatatoskr (go-бэкдор, который маскируется под службу ieupdate и общается с C2 через Yggdrasil). Через него подняли SOCKS5-прокси и выкачивали данные по HTTPS поверх этой же сети, не оставляя следов в обычном периметре. В некоторых образцах была десятиминутная задержка запуска, чтобы не подключаться сразу и не привлекать внимание. ESET с высокой уверенностью атрибутирует первоначальный доступ UAC-0099, а уничтожение данных — Sandworm (GRU Unit 74455). Передача доступа между двумя российскими группировками, по мнению исследователей, часть паттерна. 🔤🔤К названиям в этой истории призываем присмотреться отдельно. Yggdrasil в скандинавской мифологии — мировое древо, связывающее девять миров. Ratatoskr — белка, которая снует по стволу вверх и вниз, передавая перебранку между орлом на вершине и змеем Нидхеггом у корней. То есть буквально курьер между двумя уровнями. Судить кто тут змей, а кто орел мы не будем, но кажется очень изящный нейминг. Да еще и фреймворк Mythic сюда лег идеально. @antiinfosec