Backdoor em Mesh Network: Ataque Destrutivo na Ucrânia

A ameaça cibernética russa acaba de atingir um novo patamar. Hackers ligados ao Kremlin utilizaram um backdoor inédito que se comunica através de uma rede mesh descentralizada para lançar um ataque destrutivo contra uma empresa de logística na Ucrânia. O caso, revelado pela ESET e divulgado pelo The Hacker News, acende um alerta global: a infraestrutura de comando e controle (C2) dos cibercriminosos está evoluindo para se tornar quase impossível de rastrear.

O grupo Sandworm, notório por operações destrutivas como o NotPetya, uniu forças com o UAC-0099 (também conhecido como Earth Sirrush) para executar o ataque. A invasão começou em julho de 2025 com um e-mail de spear-phishing contendo um anexo malicioso, que instalou o downloader MATCHBOIL e, posteriormente, o backdoor MATCHWOK. Mas o verdadeiro destaque técnico veio depois: a implantação do MythicRatatoskr, um malware que usa a rede Yggdrasil para se comunicar com seu servidor C2.

O que é uma rede mesh e por que isso importa?

Redes mesh são sistemas descentralizados onde cada nó se conecta a vários outros, formando uma teia resiliente. Diferente da internet tradicional, que depende de servidores centrais e roteadores fixos, uma rede mesh como a Yggdrasil não possui um ponto único de falha ou controle. Isso a torna extremamente atraente para criminosos que desejam esconder sua infraestrutura.

No caso do MythicRatatoskr, o malware se conecta a um nó da Yggdrasil que funciona como servidor C2. Como o tráfego é roteado por múltiplos pares, derrubar ou rastrear esse servidor é uma tarefa hercúlea. Segundo os pesquisadores, esta é a primeira vez que um ator estatal utiliza a Yggdrasil dessa forma, o que pode sinalizar uma tendência perigosa para o futuro.

Funcionalidades do MythicRatatoskr

O backdoor, cujo desenvolvimento começou entre dezembro de 2024 e fevereiro de 2025, possui um arsenal básico, porém eficaz:

• Coleta de metadados da vítima e envio ao C2.
• Execução de comandos via cmd.exe e transferência de arquivos.
• Captura de screenshots e enumeração de diretórios.
• Proxy reverso SOCKS5 para rotear tráfego através da rede comprometida.
• Atraso de inicialização de 10 minutos para evitar detecção imediata.

Além disso, referências a "crond" no código-fonte sugerem que uma versão para Linux pode estar em desenvolvimento, ampliando o escopo de possíveis vítimas.

O ataque destrutivo: SDelete e wiper

Após mais de dois meses de acesso silencioso, o Sandworm executou a fase final: uma ação de limpeza de dados (wiper). Utilizando a ferramenta legítima SDelete, da Microsoft, distribuída via Política de Grupo do Active Directory, os atacantes apagaram dados críticos da empresa. O SDelete é um utilitário de exclusão segura, mas nas mãos erradas vira uma arma de destruição em massa.

Essa tática não é nova para o Sandworm. O malware NikoWiper, também atribuído ao grupo, é derivado do SDelete. A colaboração entre UAC-0099 e Sandworm já havia sido documentada pela ESET em ataques contra setores governamentais, energéticos e de grãos na Ucrânia. Agora, com o uso de redes mesh, a atribuição e a resposta a incidentes ficam ainda mais complexas.

Enquanto isso, no Brasil, o cenário de ameaças também exige atenção. Recentemente, a falha GoBalance expôs chaves .onion, colocando em risco o anonimato de usuários e potencialmente facilitando sequestros de contas em redes sociais. Esse tipo de vulnerabilidade, quando explorada por grupos como o Sandworm, pode servir de vetor inicial para ataques devastadores.

Golpe do falso suporte técnico: a porta de entrada doméstica

Enquanto ataques de estado-nação dominam as manchetes, o cidadão comum enfrenta ameaças igualmente perigosas no dia a dia. O golpe do falso suporte técnico é um exemplo clássico de engenharia social que, embora pareça simples, pode levar à instalação de malwares como o MythicRatatoskr.

Nesse golpe, o criminoso liga ou envia uma mensagem se passando por um técnico de uma empresa confiável, como Microsoft ou Apple. Ele alega que seu computador está infectado e oferece ajuda para "limpar" o sistema. Em seguida, convence a vítima a instalar um software de acesso remoto, como TeamViewer ou AnyDesk, e a partir daí rouba senhas, dados bancários e até instala backdoors.

Para se proteger:

• Nunca conceda acesso remoto a quem você não conhece ou não solicitou contato.
• Desconfie de chamadas não solicitadas que alegam problemas no seu computador.
• Mantenha seus sistemas atualizados e use um antivírus confiável.
• Eduque familiares e colegas sobre esse tipo de golpe, especialmente os menos familiarizados com tecnologia.

A conexão com o ataque na Ucrânia é clara: técnicas de spear-phishing e engenharia social são as portas de entrada preferidas, tanto para grupos avançados quanto para golpistas comuns. No caso do Sandworm, um simples e-mail com anexo malicioso iniciou uma cadeia que terminou em destruição total de dados.

O papel da Kzarka na proteção da sua identidade digital

Diante de ameaças cada vez mais sofisticadas, monitorar sua exposição digital deixou de ser opcional. Vazamentos de dados alimentam ataques de phishing direcionado, como o que atingiu a empresa ucraniana. Se suas credenciais já circulam na dark web, você é um alvo fácil.

A Kzarka oferece uma plataforma completa de monitoramento de vazamentos e proteção contra roubo de identidade. Ao verificar se seus dados pessoais foram comprometidos, você pode agir antes que os criminosos o façam. Além disso, a Kzarka monitora continuamente a dark web e outros canais para alertá-lo sobre novas exposições.

Outro vetor de ataque que merece atenção é o ecossistema de desenvolvimento de software. A recente descoberta de pacotes npm maliciosos mostra como atacantes estão mirando a cadeia de suprimentos para infectar milhares de aplicações de uma só vez. Se você é desenvolvedor ou depende de software de terceiros, a verificação de dependências é crítica.

Conclusão: ação imediata é a melhor defesa

O ataque na Ucrânia é um lembrete brutal de que a guerra cibernética não tem fronteiras. As táticas e ferramentas usadas por grupos como o Sandworm eventualmente chegam ao submundo do crime e são adaptadas para atingir empresas e indivíduos comuns. A adoção de redes mesh para C2 é um sinal de que os atacantes estão dispostos a inovar para escapar da detecção.

Não espere ser a próxima vítima. Verifique agora se seus dados já foram expostos e monitore sua identidade digital com a Kzarka. A prevenção é a única arma que você controla totalmente.

Acesse a Kzarka e descubra se você está em risco.