Hacker mit Russland-Bezug haben bei einem Cyberangriff auf ein ukrainisches Getreidelogistikunternehmen das freiwillig betriebene Netzwerk Yggdrasil genutzt, um ihre Kommunikation zu verschleiern. Das berichtete Arab News unter Berufung auf die Cybersicherheitsfirma ESET. Nach deren Angaben ist es der erste dokumentierte Einsatz dieser Technik durch eine staatlich verbundene Hackergruppe.
Der Angriff endete mit der Zerstörung von Daten bei dem Unternehmen, das Teil des Agrarexportsektors der Ukraine ist. Dieser gilt als wichtig für das Land. Die Landwirtschaft machte laut Forschungsschätzungen vor dem Krieg rund ein Fünftel der ukrainischen Wirtschaft und nahezu die Hälfte der Exporte aus.
ESET führte den Einbruch im Juli 2025 auf eine Phishing-E-Mail zurück. Sie war Teil einer laufenden Kampagne, die Logistikfirmen, Getreideunternehmen und Hafenterminals in der Ukraine ins Visier nimmt, wie der ESET-Forscher Anton Cherepanov sagte.
Die Angreifer installierten eine Software, mit der sie infizierte Computer aus der Ferne steuern, Dateien durchsuchen, Screenshots anfertigen und Dokumente stehlen konnten. Die Software kommunizierte über einen Server, der innerhalb von Yggdrasil verborgen war. Yggdrasil ist nach Angaben von ESET ein experimentelles, von Freiwilligen betriebenes Netzwerk ohne zentralen Eigentümer.
Cherepanov erklärte, da es sich um ein Mesh-Netzwerk handele, sei es schwerer zu entdecken. ESET habe zuvor keine staatlich verbundenen Angriffe beobachtet, die dieses Netzwerk nutzten.
Nach der Erlangung von Administratorrechten aktivierten die Angreifer ein Löschwerkzeug, das Daten auf den betroffenen Computern entfernte. Dabei handelte es sich um SDelete, ein legitimes Microsoft-Programm, das Dateien dauerhaft löschen soll. Microsoft reagierte zunächst nicht auf eine Bitte um Stellungnahme.
ESET konnte nach eigenen Angaben nicht feststellen, wofür die betroffenen Systeme genutzt wurden. Ebenso wenig ließ sich bestätigen, ob der Angriff den Getreidebetrieb störte. Das Unternehmen nannte das Opfer nicht.
Den ersten Einbruch führte laut ESET die Gruppe UAC-0099 aus, die sich nach Angaben der Firma darauf spezialisiert, Zugang zu Netzwerken zu erlangen. Die anschließende Datenzerstörung trägt nach Einschätzung von ESET die Handschrift von Sandworm. Diese Hackergruppe wird weithin mit dem russischen Militärgeheimdienst in Verbindung gebracht und wurde zuvor für Cyberangriffe auf ukrainische und polnische Stromnetze verantwortlich gemacht.
ESET stufte ein, dass UAC-0099 erfolgreich Zugang erlangte und ihn an Sandworm übergab. Welche Gruppe die bislang unbekannte Hintertür betrieb, die zwischen dem Einbruch und der Datenzerstörung genutzt wurde, konnte die Firma nicht bestimmen.
Kommentare (0)