Nel panorama delle minacce informatiche in Ucraina emerge un caso di attacco distruttivo che combina cyber espionage e sabotaggio. Un gruppo legato alla Russia ha colpito una societa di logistica ucraina con una catena di compromissione iniziata mesi prima e conclusa con un wipe dei dati.
L operazione evidenzia come gli attori APT possano collaborare, dividendo i compiti tra accesso iniziale e fase di post exploitation fino alla distruzione finale.
L intrusione e partita con una campagna di spear phishing: un messaggio email mirato ha veicolato un allegato malevolo che ha consentito l ingresso nella rete. Da qui e stato installato un downloader usato per distribuire una backdoor, creando un punto di appoggio stabile sui sistemi Windows della vittima. Dopo aver consolidato la presenza, l accesso e stato passato a un secondo attore, che ha mantenuto il controllo per settimane prima di procedere con l attacco di wiping.
L uso di una backdoor inedita e Yggdrasil come infrastruttura C2
L elemento piu interessante dal punto di vista della sicurezza di rete e l uso di una backdoor inedita che comunica con un server di comando e controllo ospitato dentro Yggdrasil, una mesh network pensata per connessioni peer to peer resilienti. Questo approccio puo aumentare la stealth e la resilienza dell infrastruttura C2, rendendo piu complessa l attribuzione e piu difficile il blocco tramite tecniche tradizionali basate su domini e IP.
La backdoor risulta progettata per funzioni tipiche di controllo remoto:
- Invio di metadati del sistema compromesso
- Polling di comandi ed esfiltrazione dell output
- Screenshot
- Trasferimento file in upload e download
Tra le capacita operative figurano anche:
- Modifica della directory di lavoro
- Enumerazione dei contenuti
- Variazione dell URL del C2
- Esecuzione di comandi tramite cmd.exe
- Avvio di un proxy inverso SOCKS5 per instradare traffico attraverso la rete infetta
- Logica di ritardo all avvio per ridurre le probabilita di rilevamento immediato
Distribuzione del wiper e impatto distruttivo
La fase finale dell attacco e stata distruttiva: tramite criteri di gruppo in Active Directory e stato distribuito uno strumento di cancellazione sicura usato per eliminare dati in modo irreversibile, una tecnica coerente con precedenti campagne di wiper. Il caso rafforza l idea di una cooperazione strutturata tra gruppi allineati, dove un team si occupa di initial access e validazione dei bersagli e un altro esegue le azioni piu impattanti su settori strategici come energia, logistica e pubblica amministrazione.