ウクライナ企業への破壊攻撃で新バックドア判明、P2Pメッシュ網悪用とロシア系集団の連携が浮き彫りに

要点

• ロシア政府系「Sandworm」と「UAC-0099」が連携し、ウクライナの物流企業にデータ消去攻撃を実行した。

• 攻撃者は侵入から2か月以上潜伏したのち、正規ツール「SDelete」をグループポリシーで配布してデータを破壊した。

• 暗号化P2Pメッシュ網「Yggdrasil」をC2通信に使う新種バックドア「MythicRatatoskr」が初確認された。

• 初期アクセス獲得と破壊工作を別々の集団が分担する、協調型のサイバー攻撃の実態が明らかになった。

• スロバキアのサイバーセキュリティ企業ESETは、ウクライナの物流企業を狙った破壊的なサイバー攻撃において、ロシア政府との関連が指摘されるハッカー集団「Sandworm」が別の脅威アクター「UAC-0099」と連携していたことを明らかにした。発表によると、攻撃者は初期侵入から2か月以上の潜伏を経て、最終的に標的のデータを完全に消去したという。この攻撃では暗号化P2Pメッシュネットワークを司令部との通信に悪用する新種バックドアが用いられており、国家関与の攻撃者による同ネットワークの悪用例が公式に確認されたのは初とされる。

スピアフィッシングから始まった侵入と2か月後のデータ消去

ESETの調査によると、攻撃の端緒となったのは2025年7月16日にUAC-0099（別名：Earth Sirrush）が送信したスピアフィッシングメール（特定組織を狙う標的型メール）だった。メールに添付された悪意あるファイルを開くことで「MATCHBOIL」と呼ばれるダウンローダーが実行され、「MATCHWOK」バックドアが侵入した。攻撃者はその翌日、後述する新型バックドアを展開して足場を強固にした。

侵入成功から2か月以上が経過した2025年9月17日、UAC-0099から侵害ネットワークのアクセス権を引き継いだSandwormがデータ消去攻撃（ワイパー攻撃：端末のデータを復旧不能にする攻撃）を開始した。最終的なデータ破壊には、WindowsのActive Directoryにおけるグループポリシー（複数端末の設定を一括管理する仕組み）が悪用され、マイクロソフト公式の完全抹消ツール「SDelete」が組織内へ一斉配布された。なお、Sandwormが過去に使用したデータ消去マルウェア「NikoWiper」も、このSDeleteをベースに改変されたことが知られている。

P2Pメッシュ網「Yggdrasil」を悪用する新種バックドア

今回の攻撃でとりわけ注目されたのが、UAC-0099が展開したこれまで未確認のバックドア「MythicRatatoskr」の存在である。このマルウェアは2024年12月から2025年2月頃にかけて開発が始まったとみられている。

最大の特徴は、C2サーバー（侵入端末を遠隔制御する指令サーバー）との通信基盤に、暗号化P2Pメッシュ網「Yggdrasil（参加端末同士が網の目状に直接接続する分散型ネットワーク）」を採用していた点にある。ESETの研究者であるアントン・チェレパノフ氏とペテル・ストリーチェク氏は、「われわれの知る限り、国家と連携する脅威アクターによってYggdrasilがこのように悪用された事例が記録されたのはこれが初めてである。攻撃インフラの耐久性やステルス性を高めるために実験的なP2Pネットワークを採用する、より広範な傾向を示唆している可能性がある」と指摘している。また一部の検体には、起動後10分間の待機時間を設けて即座の通信を避け、セキュリティ監視やサンドボックスによる検知をすり抜ける工作も施されていた。

機能としては端末メタデータ送信、コマンド受信、実行結果返送、画面キャプチャ、ファイル送受信、cmd.exe経由のシェルコマンド実行などを備えている。さらにリバースSOCKS5プロキシ（通信を代理中継して外部からの接続経路を確立する仕組み）を起動し、社内ネットワークを経由して通信を中継していた。被害環境はWindowsだったが、ソースコード内に「crond」への言及が見つかっており、Linux版が存在する可能性も示唆されている。

標的の受け渡しと活発化するロシア系グループの分業体制

UAC-0099とSandwormの協調は突発的なものではない。ESETが公開した2025年第2四半期〜第3四半期の脅威レポートでも、UAC-0099が初期侵入を行って「検証済み標的」を特定し、Sandwormへ引き渡してその後の活動を行わせる分業体制が確認されていた。ESETはThe Hacker Newsに対し、ウクライナの政府、エネルギー、物流、穀物分野を標的とした攻撃の中に、今回の事例が含まれていたことを確認している。

ロシア系グループ間の協力例は他にもある。過去にはGamaredonとTurlaが共同でウクライナ組織を侵害し、Gamaredonの「PteroGraphin」経由でTurlaのバックドア「Kazuar」を展開した事例や、Gamaredon関連の「Pterodo」からスパイウェア「InvisiMole」を実行した例が記録されている。ESETは、こうした連携は作戦の影響力を増幅させる目的で協調したサイバー活動を展開している実態を示していると説明している。