Hackers vinculados a Rusia usaron una red descentralizada en ciberataque a Ucrania, dice ESET
Por Leo Marchandon
22 oct (Reuters) - Piratas informáticos vinculados a Rusia utilizaron la red Yggdrasil, gestionada por voluntarios, para ocultar sus comunicaciones durante un ataque contra una empresa ucraniana de logística cerealista, lo que supone el primer uso documentado de esta tecnología por parte de un grupo de hackers vinculado al Estado, informó el jueves la empresa de ciberseguridad ESET.
El ataque culminó con la destrucción de datos en la empresa, que forma parte del vital sector de exportación agrícola de Ucrania. La agricultura representaba aproximadamente una quinta parte de la economía de Ucrania y casi la mitad de sus exportaciones antes de la guerra, según estimaciones de diversos estudios.
ESET rastreó la intrusión de julio de 2025 hasta un correo electrónico de phishing enviado como parte de una campaña en curso dirigida a empresas de logística, empresas cerealistas y terminales portuarias de Ucrania, explicó el investigador Anton Cherepanov.
Los atacantes instalaron un software que les permitía controlar de forma remota los computadores infectados, examinar archivos, realizar capturas de pantalla y robar documentos. El software se comunicaba a través de un servidor oculto dentro de Yggdrasil, una red experimental gestionada por voluntarios y sin un propietario central.
"Al tratarse de una red en malla, es más difícil de detectar", señaló Cherepanov. ESET dijo que no había observado anteriormente ataques vinculados a Estados que utilizaran esta red.
Tras obtener privilegios de administrador, los atacantes activaron una herramienta de borrado de datos que eliminó la información de los computadores afectados, explicó Cherepanov. La herramienta utilizada fue SDelete, una utilidad legítima de Microsoft diseñada para borrar archivos de forma permanente.
"Hicieron un uso indebido de esta herramienta legítima", señaló.
Microsoft MSFT.O no respondió de inmediato a una solicitud de comentarios.
ESET señaló que no pudo determinar para qué se utilizaban los sistemas afectados ni confirmar si el ataque interrumpió las operaciones relacionadas con los cereales.
La intrusión inicial fue llevada a cabo por un grupo de hackers vinculado a Rusia conocido como UAC-0099, que, según ESET, se especializa en obtener acceso a redes.
La posterior destrucción de datos presentaba las características propias de Sandworm, un grupo de hackers ampliamente vinculado a la inteligencia militar rusa y al que ya se había culpado anteriormente de ciberataques contra infraestructuras eléctricas ucranianas y polacas.
ESET estimó que UAC-0099 logró acceder al sistema y se lo pasó a Sandworm, pero señaló que no podía determinar qué grupo había utilizado la puerta trasera, hasta entonces desconocida, empleada entre la intrusión y la destrucción de datos.
La empresa de ciberseguridad se negó a identificar a la compañía afectada.