Une attaque Sandworm destructrice a visé une entreprise logistique ukrainienne avec l'aide d'UAC-0099, selon ESET.

Une attaque Sandworm d’un genre particulier vient d’être documentée par ESET. Le groupe, soutenu par l’État russe, a mené une opération destructrice contre une société de logistique ukrainienne. Toutefois, il n’a pas agi seul. Il s’est appuyé sur un second acteur malveillant, suivi sous le nom d’UAC-0099. Cet acteur est également connu comme Earth Sirrush.

Cette collaboration retient l’attention des analystes. En effet, elle montre que les opérations russes contre l’Ukraine reposent parfois sur un partage des rôles entre plusieurs équipes. Par ailleurs, le titre de la publication évoque une nouvelle porte dérobée fondée sur un réseau maillé, ou « mesh ».

Une attaque Sandworm menée avec un partenaire inattendu

Sandworm est un groupe bien connu des défenseurs. En effet, de nombreux analystes le rattachent aux services de renseignement militaires russes. Ses opérations visent depuis des années des cibles ukrainiennes. Elles privilégient notamment les actions destructrices.

Dans ce cas précis, l’objectif était un effacement de données. Autrement dit, il ne s’agissait pas d’espionnage discret ni d’extorsion. L’attaque cherchait donc à rendre des systèmes inutilisables. La victime appartient au secteur de la logistique. Ce secteur est un maillon essentiel pour l’acheminement de biens en temps de guerre.

Le second acteur, UAC-0099, a joué un rôle clé. Selon ESET, c’est lui qui a obtenu l’accès initial à l’entreprise. Ensuite, l’opération est passée à une phase plus destructrice, associée à Sandworm. Cette répartition du travail rappelle un schéma classique. Ainsi, un acteur ouvre la porte, puis un autre mène l’action finale.

Un accès initial obtenu par hameçonnage ciblé

La date de l’intrusion est connue. UAC-0099 a pris pied dans le réseau de la cible le 16 juillet 2025. Le vecteur choisi est un courriel de spear-phishing, autrement dit un message d’hameçonnage ciblé. En outre, ce courriel contenait une pièce jointe piégée.

Ce type d’approche reste très efficace. En effet, le message est adapté à la victime, parfois à sa fonction ou à son secteur. De plus, une pièce jointe d’apparence banale suffit souvent à déclencher l’infection. Il n’y a alors aucune faille logicielle à exploiter. Il suffit d’un clic.

L’ouverture de ce fichier a lancé le déploiement d’un premier outil malveillant. Cependant, les informations dont nous disposons s’arrêtent à ce stade de la chaîne d’infection. Nous ne détaillons donc pas ici les composants suivants. Toutefois, le titre de l’analyse mentionne bien une nouvelle porte dérobée s’appuyant sur un réseau maillé.

Pourquoi un réseau maillé intéresse les attaquants

Un réseau maillé relie des machines entre elles, sans passer par un point central unique. Pour un attaquant, ce principe présente en effet plusieurs avantages potentiels :

• il peut compliquer la détection du trafic sortant ;
• il permet de faire relayer les communications par d’autres machines compromises ;
• il offre une certaine résilience si un nœud est découvert.

Il s’agit ici d’une lecture générale de la technique. Elle ne remplace donc pas l’analyse technique complète d’ESET.

Pourquoi cette attaque Sandworm inquiète les défenseurs

Premièrement, l’attaque confirme que les wipers restent une arme centrale du conflit numérique. Ces programmes détruisent les données de façon irréversible. Par conséquent, une sauvegarde saine devient le dernier rempart.

Deuxièmement, la coopération entre deux groupes brouille l’attribution. Un défenseur qui repère UAC-0099 dans son réseau peut croire à une menace limitée. Pourtant, cet accès peut préparer une action bien plus grave. C’est pourquoi chaque intrusion mérite d’être traitée comme un possible prélude à une destruction.

Troisièmement, le secteur visé est stratégique. La logistique dépend de systèmes interconnectés et de délais serrés. Par conséquent, une interruption, même brève, peut avoir des effets en cascade. Les entreprises de transport, d’entreposage et de distribution devraient donc se sentir concernées, y compris hors d’Ukraine.

Enfin, le recours à un outil nouveau montre que ces acteurs renouvellent leur arsenal. Les signatures anciennes ne suffisent donc plus. Les équipes doivent surveiller les comportements anormaux, par exemple les connexions latérales inhabituelles entre postes.

Ce qu’il faut retenir

• Sandworm, groupe soutenu par l’État russe, a mené une opération d’effacement de données contre une société logistique ukrainienne.
• UAC-0099, alias Earth Sirrush, a obtenu l’accès initial le 16 juillet 2025.
• Le vecteur d’entrée était un courriel de spear-phishing avec pièce jointe piégée.
• ESET évoque une nouvelle porte dérobée liée à un réseau maillé.

Recommandations

• Sensibilisez les équipes à l’hameçonnage ciblé, notamment aux pièces jointes inattendues.
• Filtrez et analysez les pièces jointes dans une zone isolée avant livraison.
• Conservez également des sauvegardes hors ligne et testez régulièrement leur restauration.
• Segmentez donc le réseau pour freiner les déplacements latéraux.
• Surveillez les communications internes atypiques, qui peuvent trahir un relais malveillant.
• Enfin, traitez toute intrusion, même apparemment mineure, comme une menace potentiellement destructrice.

Source : Russian-Linked Hackers Used New Mesh Network Backdoor in Destructive Ukraine Attack