گروه هکری Sandworm که تحت حمایت دولت روسیه فعالیت می‌کند، با همکاری یک عامل تهدید (threat actor) دیگر، حمله‌ای تخریبی و مبتنی بر پاک‌سازی داده‌ها (wiping attack) را علیه یک شرکت لجستیک اوکراینی انجام داده است.
بر اساس گزارش ESET، این حمله با استفاده از روش فیشینگ هدفمند (spear-phishing) آغاز شد. عامل تهدید UAC-0099 (معروف به Earth Sirrush) در تاریخ ۱۶ جولای ۲۰۲۵، از طریق یک پیوست آلوده به بدافزار، دسترسی اولیه را به هدف ایجاد کرد. این فرآیند منجر به اجرای یک دانلودر به نام MATCHBOIL و سپس استقرار بک‌دور (backdoor) MATCHWOK شد.
نکته متمایزکننده این حمله، استفاده از یک بک‌دور پیش‌تر مستند نشده به نام MythicRatatoskr است. این بدافزار برای برقراری ارتباط با سرور فرماندهی و کنترل (C2)، از شبکه Mesh موسوم به Yggdrasil استفاده می‌کند. این رویکرد جدید به مهاجمان اجازه می‌دهد تا از شبکه‌های Peer-to-Peer (P2P) برای افزایش پایداری و پنهان‌کاری زیرساخت خود بهره ببرند.
قابلیت‌های فنی MythicRatatoskr
- ارسال متادیتای قربانی به سرور C2
- دریافت دستورات جدید و ارسال خروجی آن‌ها
- گرفتن اسکرین‌شات (screenshot) و مدیریت فایل‌ها (آپلود/دانلود)
- تغییر دایرکتوری کاری و لیست کردن محتویات پوشه‌ها
- اجرای دستورات شل (shell command) از طریق cmd.exe
- ایجاد یک پروکسی SOCKS5 معکوس (reverse SOCKS5 proxy)
پس از تثبیت حضور، عامل تهدید دسترسی خود را به گروه Sandworm واگذار کرد. این گروه در نهایت با استفاده از ابزار SDelete از طریق سیاست‌های گروهی اکتیو دایرکتوری (Active Directory Group Policy)، حمله‌ای برای پاک‌سازی داده‌ها انجام داد. همچنین، شواهدی از وجود نسخه لینوکسی این بدافزار نیز مشاهده شده است.
این همکاری میان گروه‌های وابسته به روسیه (مانند Gamaredon و Turla) نشان‌دهنده یک روند رو به رشد در همکاری‌های هماهنگ برای افزایش اثرگذاری عملیات‌های جاسوسی و تخریبی سایبری است.
