ロシアのハッカー集団が連携、ウクライナの穀物企業のデータを破壊

ロシア政府系のハッキング集団「Sandworm」が別の攻撃グループと協力し、昨年、ウクライナの穀物物流企業に対して破壊的なサイバー攻撃を仕掛けていたことが、木曜日に研究者らが公表した報告書で明らかになりました。

スロバキアのサイバーセキュリティ企業ESETの報告書によると、攻撃は2025年7月に始まりました。ロシア寄りのスパイ集団「UAC-0099」が、悪意のある添付ファイルを含むフィッシングメールを使い、社名が明かされていないこの企業のシステムに侵入したとされています。

ハッカーらはまず、ネットワークへのアクセスを維持するため、「MatchWok」と呼ばれるバックドアを仕込みました。その後、これまで知られていなかった新たなツール「MythicRatatoskr」を展開しています。このツールを使うと、遠隔からのコマンド実行、ファイルの窃取、スクリーンショットの取得が可能になります。

「MythicRatatoskrバックドアが他の場所で使われた例は確認していません。Linux版も存在する可能性を示す痕跡を見つけました」。今回の攻撃を調査したESETの研究者、Anton Cherepanov氏はこう述べています。

研究者らは、UAC-0099がその後、Sandwormにアクセス権を引き渡したとみています。Sandwormは、欧米の情報機関がロシア軍の情報機関であるGRU（参謀本部情報総局）と関連づけているグループです。同グループは2か月後の9月、この企業に対してデータ破壊攻撃を実行しました。ESETは、新たに発見されたこのバックドアを主に運用していたのがどちらのグループなのかは特定できなかったとしています。

研究者らは、攻撃者が感染したコンピューターとの通信を隠すために使っていた、珍しい手法も確認しました。このマルウェアは、ハッカーが管理する一般的なサーバーに直接接続するのではなく、「Yggdrasil」を経由して通信していました。Yggdrasilは、中央のハブに頼らず、デバイス同士が暗号化されたデータをやり取りできる分散型ネットワークです。

「われわれの知る限り、国家に連なる攻撃者がYggdrasilをこのように悪用した事例が記録されるのは初めてです」と研究者らは述べ、こうしたネットワークによって、悪意あるインフラが止められにくく、追跡もしにくくなる恐れがあると警告しました。

UAC-0099は少なくとも2022年から活動しています。これまでにも、ウクライナの政府機関や金融機関、メディア、さらに運輸・製造・エネルギー分野の企業を標的にしてきました。

Sandwormは、ロシアが後ろ盾とするハッキング集団の中でも特に悪名高い存在です。重要インフラへの攻撃や、ウクライナに対する破壊工作で知られています。同グループは、2015年と2016年にウクライナで停電を引き起こしたサイバー攻撃のほか、2022年に同国のエネルギーインフラを狙った攻撃未遂にも関与したとされています。

ロシアがウクライナへの全面侵攻を開始して以降、Sandwormはウクライナの組織に対し、データ破壊型マルウェアを繰り返し使用してきました。このようなマルウェアは、ファイルを暗号化して金銭を要求するのが一般的なランサムウェアとは異なり、データを恒久的に破壊して業務を妨害することを目的としています。

ESETは昨年11月に公表した報告書で、Sandwormが2025年6月から9月にかけて、ウクライナの穀物、エネルギー、物流、政府の各分野の組織に対し、複数の破壊的攻撃を仕掛けていたと指摘していました。研究者らによると、ウクライナのインフラは戦争を通じて頻繁にサイバー攻撃を受けてきましたが、農業関連企業への直接的な攻撃は比較的まれでした。

今回のESETの調査結果は、ロシアのハッキング集団が連携していることを示すもう一つの例です。

2025年の初めには、ロシア連邦保安庁（FSB）と関連する2つのスパイ集団、GamaredonとTurlaが、同じウクライナの組織を標的にした4件の事例を、同社が確認しています。

「UAC-0099からSandwormへの引き継ぎは、関与した攻撃者の組み合わせこそ珍しいものの、パターンとしてはもはや意外ではありません」と研究者らは述べています。