Hackers ligados à Rússia usaram a rede descentralizada Yggdrasil para ocultar comunicações durante um ataque contra uma empresa ucraniana de logística de grãos. Segundo a ESET, foi o primeiro uso documentado dessa tecnologia por um grupo de hackers ligado a um Estado.
Continua após a publicidade
A invasão ocorreu em julho de 2025 e terminou com a destruição de dados nos computadores afetados. Antes da guerra, a agricultura respondia por cerca de um quinto da economia ucraniana e quase metade das exportações do país.
O ataque começou com um e-mail de phishing enviado durante uma campanha contra empresas ucranianas de logística e grãos. – Imagem: Lemonsoup14/Shutterstock
Rede descentralizada dificultou a detecção
A ESET rastreou a invasão até um e-mail de phishing enviado durante uma campanha contra empresas de logística, companhias de grãos e terminais portuários na Ucrânia. Após obter acesso à rede, os invasores instalaram um programa que permitia controlar computadores remotamente, consultar arquivos, fazer capturas de tela e roubar documentos.
A comunicação do programa passava por um servidor escondido na Yggdrasil, uma rede experimental mantida por voluntários e sem proprietário central. Sua estrutura em malha dificulta a detecção das comunicações, segundo a explicação do pesquisador Anton Cherepanov, da ESET.
“Por ser uma rede em malha, é mais difícil de detectar”, afirmou Cherepanov. A empresa disse que não havia observado anteriormente ataques ligados a Estados que utilizassem essa tecnologia.
O utilitário SDelete da Microsoft foi ativado pelos cibercriminosos para apagar arquivos permanentemente. – Imagem: PJ McDonnell/Shutterstock
Ferramenta legítima foi usada para apagar dados
Depois de obter privilégios de administrador, os invasores acionaram o SDelete, utilitário legítimo da Microsoft desenvolvido para apagar arquivos permanentemente.
“Eles abusaram dessa ferramenta legítima”, disse Cherepanov.
A investigação atribuiu a invasão inicial ao UAC-0099, grupo ligado à Rússia especializado em obter acesso a redes. A etapa de destruição de dados apresentou características associadas ao Sandworm, grupo amplamente ligado à inteligência militar russa e anteriormente responsabilizado por ataques contra infraestruturas de energia da Ucrânia e da Polônia.
Segundo a avaliação da ESET, o UAC-0099 conseguiu entrar na rede e transferiu o acesso ao Sandworm. A empresa, porém, não conseguiu determinar qual dos grupos operou a porta dos fundos usada entre a invasão e a destruição dos dados.
A investigação identificou três pontos centrais:
- Invasão inicial: o UAC-0099 foi apontado como responsável pela entrada na rede.
- Transferência de acesso: a ESET avalia que o acesso foi repassado ao Sandworm.
- Autoria ainda indefinida: não foi possível identificar qual grupo operou a porta dos fundos antes da destruição dos dados.
A ESET não divulgou o nome da empresa atingida nem confirmou se o ataque interrompeu suas operações. A Microsoft não respondeu imediatamente ao pedido de comentário.
Valdir Antonelli
Valdir Antonelli é jornalista com especialização em marketing digital e consumo.
Ver todos os artigos →
Tags: ataque hacker cibersegurança phishing rússia ucrânia
