A invasão ocorreu em julho de 2025 e terminou com a destruição de dados nos computadores afetados. Antes da guerra, a agricultura respondia por cerca de um quinto da economia ucraniana e quase metade das exportações do país.
O ataque começou com um e-mail de phishing enviado durante uma campanha contra empresas ucranianas de logística e grãos. – Imagem: Lemonsoup14/Shutterstock
Rede descentralizada dificultou a detecção
A ESET rastreou a invasão até um e-mail de phishing enviado durante uma campanha contra empresas de logística, companhias de grãos e terminais portuários na Ucrânia. Após obter acesso à rede, os invasores instalaram um programa que permitia controlar computadores remotamente, consultar arquivos, fazer capturas de tela e roubar documentos.
A comunicação do programa passava por um servidor escondido na Yggdrasil, uma rede experimental mantida por voluntários e sem proprietário central. Sua estrutura em malha dificulta a detecção das comunicações, segundo a explicação do pesquisador Anton Cherepanov, da ESET.
“Por ser uma rede em malha, é mais difícil de detectar”, afirmou Cherepanov. A empresa disse que não havia observado anteriormente ataques ligados a Estados que utilizassem essa tecnologia.
O utilitário SDelete da Microsoft foi ativado pelos cibercriminosos para apagar arquivos permanentemente. – Imagem: PJ McDonnell/Shutterstock
Ferramenta legítima foi usada para apagar dados
Depois de obter privilégios de administrador, os invasores acionaram o SDelete, utilitário legítimo da Microsoft desenvolvido para apagar arquivos permanentemente.
“Eles abusaram dessa ferramenta legítima”, disse Cherepanov.
A investigação atribuiu a invasão inicial ao UAC-0099, grupo ligado à Rússia especializado em obter acesso a redes. A etapa de destruição de dados apresentou características associadas ao Sandworm, grupo amplamente ligado à inteligência militar russa e anteriormente responsabilizado por ataques contra infraestruturas de energia da Ucrânia e da Polônia.
Segundo a avaliação da ESET, o UAC-0099 conseguiu entrar na rede e transferiu o acesso ao Sandworm. A empresa, porém, não conseguiu determinar qual dos grupos operou a porta dos fundos usada entre a invasão e a destruição dos dados.
A investigação identificou três pontos centrais:
Invasão inicial: o UAC-0099 foi apontado como responsável pela entrada na rede.
Transferência de acesso: a ESET avalia que o acesso foi repassado ao Sandworm.
Autoria ainda indefinida: não foi possível identificar qual grupo operou a porta dos fundos antes da destruição dos dados.
A ESET não divulgou o nome da empresa atingida nem confirmou se o ataque interrompeu suas operações. A Microsoft não respondeu imediatamente ao pedido de comentário.
O post Phishing por e-mail abre caminho para ataque destrutivo na Ucrânia apareceu primeiro em Olhar Digital .
