Um ataque cibernético destrutivo contra uma empresa de logística de grãos na Ucrânia acendeu o alerta de pesquisadores de segurança. A investida combinou a atuação de dois grupos alinhados à Rússia e utilizou uma rede paralela e descentralizada para esconder os comandos dos invasores.

A ação teve início em 16 de julho de 2025, de acordo com o relatório publicado pela ESET nesta quinta-feira (22). Na data, o grupo conhecido como UAC-0099 obteve acesso inicial ao sistema da vítima por meio de uma mensagem de phishing com um arquivo malicioso anexado.

Após se consolidar no sistema, o coletivo instalou um código espião inédito, batizado pelos especialistas de “MythicRatatoskr”. Em 17 de setembro de 2025, o acesso foi repassado ao Sandworm, um grupo de agentes governamentais russos ligado à unidade 74455 do serviço de inteligência militar da Rússia (GRU) que usou a credencial para apagar os dados da empresa.

Conexão escondida em rede paralela

O grande diferencial técnico do ataque foi a forma como o código espião MythicRatatoskr se comunicava com os criminosos: a partir de um servidor mantido dentro da Yggdrasil.

A Yggdrasil é uma rede descentralizada e criptografada que funciona de forma independente, sem um ponto central de controle. Essa estrutura dificultou o rastreamento do tráfego e a localização física dos servidores de comando utilizados pelos cibercriminosos.


Uma vez instalado, o MythicRatatoskr permitia coletar informações do sistema, tirar capturas de tela, baixar e enviar arquivos, além de executar comandos à distância. O programa trazia até um atraso programado de dez minutos ao ser ligado, uma estratégia criada para evitar detecção imediata por sistemas de defesa.

Para garantir que o acesso não fosse perdido, a dupla de invasores também implantou um servidor proxy, usado para direcionar conexões de dentro da própria rede invadida.

Cooperação entre grupos russos

A transferência do acesso do UAC-0099 para o Sandworm não é um caso isolado. Relatórios anteriores da ESET indicam que o UAC-0099 atua frequentemente como um fornecedor de acessos iniciais para que o Sandworm execute ações destrutivas contra setores estratégicos da Ucrânia, como energia, governo e agricultura.

A ESET também já havia registrado parcerias semelhantes entre outros grupos ligados a Moscou, como a cooperação entre Gamaredon e Turla, além da distribuição do spyware InvisiMole, detalhado pela empresa. Enquanto ameaças no setor financeiro global envolvem agentes de Inteligência Artificial (IA) acessando contas bancárias de forma não autorizada, conforme relatado pelo Axios, o foco permanece em sabotagens estruturais no cenário geopolítico.

“Esse tipo de cooperação reforça o potencial de campanhas de espionagem cibernética coordenadas entre grupos alinhados à Rússia, provavelmente com a intenção de ampliar o impacto operacional das ações”, destaca a equipe.

O ataque terminou com a execução do utilitário SDelete por meio do Active Directory, uma ferramenta legítima que foi usada pelos hackers para apagar arquivos e desestruturar as operações da empresa ucraniana.

Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.