ウクライナ穀物物流企業に新型バックドア　ESETが分散型Yggdrasil悪用を確認

※記事を視覚化したイメージであり、実際の事象とは異なります。

2026.10.23

本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]

ESETは2026年10月22日、ウクライナの穀物物流企業への攻撃で確認したバックドア「MythicRatatoskr」の分析を公表した。このバックドアは、分散型ネットワークYggdrasil内の指令サーバーと通信する仕組みだ。ESETによると、国家関連の攻撃主体がこの方法を利用した例は、同社が把握する限り初めてだという。

分散型ネットワーク内に指令サーバー

今回の分析が対象とするのは、2025年に起きた攻撃だ。ESETによると、悪意ある添付ファイルを付けた標的型メールが同年7月16日の初期アクセスにつながり、翌17日にMythicRatatoskrが展開された。

このバックドアは、コマンドの実行、ファイル転送、画面撮影、通信の中継に対応する。ESETが通信を解析したところ、Yggdrasil内部に置かれた指令サーバーとやり取りしていた。これらはバックドアが備える機能であり、ファイルや画面画像が実際にどの程度持ち出されたかは明らかになっていない。

Yggdrasilは中央ハブを持たず、ノード間で暗号化されたIPv6通信を行うネットワークだ。ESETは、指令サーバーの物理的位置を特定するのが難しかったと説明している。一方、Yggdrasilは匿名性を提供する設計ではないとも明記し、防御側の緩和策として公開接続先の遮断を挙げた。

初期アクセスとデータ消去を別集団に帰属

ESETは、7月の初期アクセスをUAC-0099に、9月17日に検知したデータ消去攻撃をSandwormに、それぞれ高い確信度で帰属させた。攻撃手法や既知の使用ツールに基づく評価だ。ただし、UAC-0099がロシアの利益に沿って活動しているとの評価は中程度の確信度で、各攻撃段階の帰属とは確信度が異なる。バックドアを主に運用したのがどちらの集団かは、ESETも特定できていない。

データ消去では、管理設定を配布するActive Directoryのグループポリシーを通じて、消去ツールSDeleteが展開されたとESETは報告した。SDeleteはマイクロソフトが提供する正規のファイル消去ツールで、攻撃者に悪用された。

業務への影響には不明な点がある。ロイターによると、ESETは被害システムの用途を特定できず、穀物関連業務が妨げられたかどうかも確認できなかったと説明した。同社は被害企業名の開示も断っている。