Tin tặc liên kết Nga dùng backdoor mới trên mạng mesh trong tấn công Ukraine
"Russian-linked Sandworm and UAC-0099 groups collaborated in a destructive attack against a Ukrainian logistics company. The attack utilized a new backdoor, MythicRatatoskr, communicating over the Yggdrasil mesh network, and culminated in data wiping using SDelete. This represents the first documented abuse of Yggdrasil by a state-aligned actor."
Sự hợp tác giữa các nhóm tin tặc Nga và việc sử dụng mạng lưới P2P như Yggdrasil làm tăng mức độ nguy hiểm của các cuộc tấn công mạng. Mất dữ liệu do SDelete gây ra có thể ảnh hưởng nghiêm trọng đến hoạt động của doanh nghiệp.
Các công ty logistics và các ngành khác ở Việt Nam có thể là mục tiêu tiềm năng. Việc phòng ngừa tấn công, sao lưu dữ liệu thường xuyên và nâng cao nhận thức về an ninh mạng là rất quan trọng.
ESET cho biết nhóm tin tặc Sandworm (liên kết Nga) hợp tác với UAC-0099 tấn công một công ty logistics Ukraine năm 2025. Điểm mới là backdoor MythicRatatoskr, giao tiếp qua mạng mesh Yggdrasil. Sau khi có quyền truy cập, Sandworm dùng SDelete xóa dữ liệu.
Đây là lần đầu tiên mạng Yggdrasil bị khai thác bởi nhóm tin tặc có liên kết nhà nước. Yggdrasil là mạng peer-to-peer, có thể giúp tăng tính ẩn danh cho hạ tầng tấn công. MythicRatatoskr có thể lấy thông tin hệ thống, nhận lệnh, chụp ảnh màn hình và tải/tải file lên.
ESET nhận thấy UAC-0099 thường tiếp cận mục tiêu trước, sau đó chuyển quyền cho Sandworm để thực hiện các hành động sâu hơn. Các mục tiêu trước đây bao gồm chính phủ, năng lượng, logistics và ngành ngũ cốc của Ukraine. Các nhóm tin tặc Nga thường phối hợp để tăng hiệu quả tấn công.
MythicRatatoskr có tham chiếu đến “crond”, cho thấy có thể có phiên bản Linux của malware này. Sandworm cũng dùng NikoWiper, một biến thể của SDelete, để xóa dữ liệu.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc sử dụng mạng mesh Yggdrasil trong tấn công là đáng chú ý. Các doanh nghiệp Việt Nam nên theo dõi các báo cáo về mạng lưới P2P và các kỹ thuật ẩn danh mới. Hiện tại, chưa có dấu hiệu Yggdrasil được sử dụng rộng rãi, nhưng cần chuẩn bị cho khả năng này. Các tổ chức nên kiểm tra hệ thống để phát hiện hoạt động bất thường và đảm bảo phần mềm diệt virus được cập nhật.