Digital Inside
Trata-se de um caso pouco comum e, segundo a empresa, ainda não documentado, em que um ator alinhado com Moscovo recorre a malware destrutivo contra uma energética polaca. O contexto ganha maior relevância porque, ao longo de 2025, a ESET investigou mais de dez incidentes com malware deste tipo ligados ao Sandworm, quase todos em território ucraniano.
O impacto operacional foi significativamente reduzido porque o produto EDR/XDR instalado no ambiente da vítima, o ESET PROTECT, bloqueou a execução do wiper. Na prática, a contenção do código malicioso impediu que a operação de sabotagem atingisse o seu objetivo principal, o apagamento de dados e a inutilização dos sistemas. A análise forense do caso contou também com o trabalho da CERT Polska, que publicou um relatório técnico detalhado sobre o incidente.
Segundo a cronologia divulgada, as amostras do DynoWiper foram implantadas a 29 de dezembro de 2025, muito provavelmente através de um diretório partilhado no domínio da organização visada. Há indícios de que os atacantes possam ter testado previamente a operação em máquinas virtuais antes da tentativa de execução no ambiente real.
Foram introduzidas três variantes distintas do malware, mas todas as tentativas falharam. O funcionamento do DynoWiper assenta na sobrescrita de ficheiros com blocos de 16 bytes compostos por dados aleatórios gerados no arranque da execução. Nos ficheiros mais pequenos, essa sobrescrita é integral; nos maiores, o malware altera apenas partes do conteúdo para acelerar a destruição. O processo estende-se a unidades fixas e removíveis e termina com um reinício forçado do sistema, etapa que conclui a inutilização da máquina.
Ao contrário de outras ferramentas já associadas ao Sandworm, como Industroyer e Industroyer2, o DynoWiper observado neste incidente atuou apenas no ambiente de TI, sem funcionalidades dirigidas a sistemas industriais. Ainda assim, a ausência desses componentes nesta amostra não exclui que outras fases da cadeia de ataque possam ter contemplado tecnologia operacional.
A ESET encontrou várias semelhanças entre o DynoWiper e o malware ZOV, nomeadamente na exclusão seletiva de diretórios e na lógica distinta usada para tratar ficheiros pequenos e grandes. Esse paralelismo reforça a atribuição ao Sandworm com elevado grau de confiança.
O ZOV tinha sido detetado numa instituição financeira na Ucrânia em novembro de 2025 e, antes disso, num ataque a uma empresa de energia ucraniana em janeiro de 2024. Em ambos os casos, o objetivo foi o mesmo: percorrer as unidades fixas e sobrescrever ficheiros para comprometer a recuperação dos sistemas.
O novo incidente na Polónia sugere a continuidade de uma linha operacional do Sandworm focada em ataques destrutivos a setores críticos, com especial incidência em energia, logística, transportes, telecomunicações e organismos públicos. O grupo mantém, aliás, um histórico de uma década de operações contra organizações polacas, incluindo empresas energéticas.
Este padrão já tinha sido visível em outubro de 2022, quando o grupo conduziu um ataque destrutivo contra empresas de logística na Ucrânia e na Polónia, mascarando a operação sob a aparência de um incidente de ransomware Prestige.
A predominância de campanhas dirigidas à Ucrânia levou a ESET a manter uma colaboração estreita com parceiros locais, incluindo a CERT-UA, no apoio a ações de prevenção e remediação.
