Связанные с Россией хакеры использовали новую mesh-сетевую закладку в разрушительной атаке на Украину

В 2025 году украинская логистическая компания стала жертвой разрушительной атаки с применением вайпера — вредоносного ПО, уничтожающего данные. По данным ESET, за атакой стояла спонсируемая российским государством группа Sandworm, действовавшая совместно с другим threat actor — UAC-0099 (также известной как Earth Sirrush). Случай важен тем, что демонстрирует связку первоначального доступа и деструктивного воздействия, а также появление нового инструмента удалённого управления, скрывающего канал связи в mesh-сети.

Подробности

Согласно ESET, UAC-0099 получила первоначальный доступ к целевой инфраструктуре 16 июля 2025 года. Вектором стала целевая фишинговая рассылка (spear-phishing) с вложением, содержащим вредоносное ПО; именно через него злоумышленники проникли в сеть компании. Дальнейшее развитие атаки привело к развёртыванию вредоносных инструментов и, в конечном счёте, к деструктивному воздействию на системы жертвы. Ключевая техническая особенность кампании — новая закладка (backdoor), использующая mesh-сеть для управления. В отличие от классической модели «клиент — сервер», где трафик идёт к центральному серверу управления (C2), mesh-архитектура предполагает обмен данными между узлами сети. Это усложняет обнаружение и блокировку: у защитников нет единственной точки, отключение которой разорвало бы канал управления. Подобный подход повышает устойчивость инфраструктуры злоумышленников и затрудняет атрибуцию и реагирование. Разделение ролей между участниками выглядит показательным: UAC-0099 отвечала за первоначальный доступ и закрепление, тогда как Sandworm — группа, ранее причастная к ряду резонансных деструктивных кампаний, — ассоциируется с проведением разрушительной фазы. Совместная работа двух акторов указывает на координированную операцию, а не на разовую opportunistic-атаку. Стоит отметить, что в исходном сообщении не раскрываются конкретные версии затронутых продуктов, равно как и идентификаторы CVE — уязвимости не являются движущей силой описанного сценария. Основной вектор — социальная инженерия и фишинг, а не эксплуатация программных ошибок.

Что делать

Рекомендации для организаций, прежде всего из логистического и промышленного секторов:

• Усилить защиту от фишинга. Внедрить фильтрацию вложений и ссылок, песочницы для проверки файлов, а также регулярное обучение сотрудников распознаванию целевых фишинговых писем.
• Ограничить исполнение вложений. Блокировать запуск макросов и исполняемых файлов из почтовых вложений по умолчанию; использовать политики Application Control.
• Сегментировать сеть. Разделение сегментов снижает возможности злоумышленника перемещаться по инфраструктуре после первоначального доступа.
• Мониторить аномальный сетевой трафик. Учитывая mesh-характер канала управления, стоит обращать внимание на необычные peer-to-peer соединения и трафик между внутренними узлами.
• Обеспечить резервное копирование. Изолированные и проверяемые бэкапы — ключевая защита от вайперов; регулярно тестируйте восстановление.
• Внедрить MFA и принцип наименьших привилегий для доступа к критичным системам, а также защищённые каналы VPN/TLS для удалённого администрирования.

Итог: инцидент подтверждает, что фишинг остаётся надёжным входом для деструктивных кампаний, а mesh-сети становятся новым способом скрыть управление закладками. Организациям важно сочетать защиту от социальной инженерии с готовностью к быстрому восстановлению после уничтожения данных.

Источник: The Hacker News