Die Hackergruppen Sandworm und UAC-0099 führten einen destruktiven Wiper-Angriff gegen ein ukrainisches Logistikunternehmen durch. Der Angriff begann am 16. Juli 2025 mit einer Spear-Phishing-E-Mail mit Malware-Anhang, die UAC-0099 als initialen Zugriff nutzte. Die Kontrolle wurde anschließend an Sandworm übergeben, die am 17. September 2025 die endgültige Datenlöschung mittels SDelete über Active Directory Group Policy durchführte.
Eine neue Backdoor namens MythicRatatoskr wurde dabei eingesetzt und kommuniziert über das Peer-to-Peer-Overlay-Netzwerk Yggdrasil mit einem C2-Server. Die Backdoor kann Metadaten des Opfers sammeln, Befehle abfragen und ausführen, Screenshots übertragen, Dateien hochladen und herunterladen, das aktuelle Verzeichnis wechseln und eine Reverse-SOCKS5-Proxy starten. Einige Artefakte enthalten eine 10-Minuten-Startenverzögerung.
Die Angriffe trafen den Regierungs-, Energie-, Logistik- und Getreidesektoren in der Ukraine. NikoWiper, ebenfalls mit Sandworm verknüpft, basiert gleichfalls auf SDelete.
Kernpunkte:
- Mit Sandworm verbündete Akteure führten zusammen mit UAC-0099 einen destruktiven Wiper-Angriff gegen ein ukrainisches Logistikunternehmen durch.
- Der initiale Zugriff erfolgte über eine Spear-Phishing-E-Mail mit Malware-Anhang am 16. Juli 2025.
- Die Kontrolle wurde anschließend an Sandworm übergeben.
Quelle: IT Boltwise (Deutsch)