Hackers russos usam rede descentralizada em ataque a empresa ucraniana

Hackers ligados à Rússia utilizaram a rede descentralizada Yggdrasil para ocultar comunicações durante um ataque cibernético contra uma empresa ucraniana de logística de grãos. Segundo a empresa de segurança ESET, este é o primeiro uso documentado dessa tecnologia por um grupo de hackers com vínculos estatais.

A invasão, ocorrida em julho de 2025, culminou na destruição de dados nos computadores afetados. Antes do conflito, a agricultura representava cerca de um quinto da economia ucraniana e quase metade das exportações do país, tornando o setor um alvo estratégico.

Rede descentralizada dificultou a detecção

A investigação da ESET rastreou o início do ataque até um e-mail de phishing enviado como parte de uma campanha direcionada a empresas de logística, companhias de grãos e terminais portuários na Ucrânia. Após obter acesso à rede da empresa, os invasores instalaram um programa malicioso que permitia o controle remoto de computadores, consulta de arquivos, captura de tela e roubo de documentos.

A comunicação do programa utilizava um servidor oculto na Yggdrasil, uma rede experimental mantida por voluntários e sem um proprietário central. Sua estrutura em malha, segundo o pesquisador da ESET, Anton Cherepanov, dificulta a detecção das comunicações.

“Por ser uma rede em malha, é mais difícil de detectar”, afirmou Cherepanov. A ESET destacou que nunca havia observado ataques ligados a Estados que empregassem essa tecnologia anteriormente.

Ferramenta legítima usada para apagar dados

Após a conquista de privilégios de administrador na rede da vítima, os invasores acionaram o SDelete, um utilitário legítimo da Microsoft projetado para apagar arquivos de forma permanente e irrecuperável. A ação demonstrou o uso de ferramentas legítimas para fins destrutivos.

“Eles abusaram dessa ferramenta legítima”, disse Cherepanov, ressaltando a tática empregada pelos cibercriminosos.

Atribuição e próximos passos

A investigação atribuiu a invasão inicial ao grupo UAC-0099, especializado em obter acesso a redes e ligado à Rússia. A etapa de destruição de dados apresentou características associadas ao grupo Sandworm, amplamente ligado à inteligência militar russa e anteriormente responsabilizado por ataques contra infraestruturas de energia na Ucrânia e na Polônia.

Segundo a avaliação da ESET, o UAC-0099 conseguiu entrar na rede e transferiu o acesso ao Sandworm. No entanto, a empresa de segurança não conseguiu determinar qual dos grupos operou a porta dos fundos utilizada entre a invasão e a destruição dos dados.

A investigação identificou três pontos centrais: a invasão inicial pelo UAC-0099, a transferência de acesso ao Sandworm, e a autoria indefinida da porta dos fundos. A ESET não divulgou o nome da empresa atingida nem confirmou se o ataque interrompeu suas operações.