Hackergruppen Sandworm – En integrerad del av rysk krigföring och underrättelseoperationer
I debatten om det svenska säkerhetsläget används ofta begreppet hybridkrigföring. En term som omfattar en rad med olika hot som synes inte hänga ihop. Men det förhåller sig tvärtom i Rysslands fall som medvetet och strukturerat inlemmat hackergrupper som Sandworm i sin befälsstruktur och samordning. Enheter som i allra högsta grad kan komma att bli eller redan är aktiva i Sverige.
Den 28 april 2025 tog sig en man med diplomatiska registreringsskyltar in i Afrikanska unionens residens i Addis Abeba. Han gick in i sovrummet där kommissionsordföranden Mahamoud Ali Youssouf vistades och lämnade byggnaden efter drygt fyra minuter. Händelsen fångades av övervakningskameror. Enligt The Insiders granskning identifierades mannen som Aleksandr Dubikov, en 36-årig GRU-officer och assistent till Rysslands militärattaché i Etiopien. Han hade också telefonkontakter med Vladislav Popov, en hacker med kopplingar till Sandworm eller GRU militära enhet 74455.
Sandworm är en av de mest effektiva men samtidigt aggressiva cyberaktörer som har knutits till den ryska staten. Verksamheten har framför allt riktats mot Ukraina, där gruppen har angripit elförsörjning, myndigheter och annan kritisk infrastruktur. Till skillnad från cyberaktörer som främst ägnar sig åt spionage har Sandworm återkommande genomfört operationer med syfte att slå ut system, förstöra data och störa samhällsfunktioner. Gruppen förknippas bland annat med elnätsattackerna i Ukraina 2015 och 2016 samt det globala skadeprogrammet NotPetya 2017. Dess verksamhet visar hur cyberangrepp kan användas som ett direkt verktyg för sabotage och militär påverkan.
Incidenten i Addis Abeba illustrerar en mindre uppmärksammad sida av Sandworm – kopplingen mellan cyberoperationer och klassisk fysisk underrättelseinhämtning. Sandworm är inte bara en beteckning för en grupp hackare, utan en etablerad enhet inom Rysslands militära underrättelsetjänst. Den har en formell befälsstruktur, militärt utbildad personal och utför uppdrag som omfattar allt från intrång till cyberattacker.
En formell enhet inom GRU
Sandworm förekommer i cybersäkerhetsrapporter även under beteckningarna APT44, Voodoo Bear, Seashell Blizzard och Telebots. Den organisatoriska kärnan är Huvudcentret för specialteknologier (GTsST), en militär enhet med nummer 74455 inom GRU.
USA åtalade 2020 sex officerare från enheten för bland annat attackerna mot Ukrainas elnät 2015–2016 och cyberoperationer mot vinter-OS 2018. Brittiska, amerikanska och europeiska motåtgärder har också riktats mot GTsST och enhet 74455. Enheten har sitt huvudkvarter i Khimki utanför Moskva och ingår i den ryska militära underrättelseorganisationen.
Uppgifter om rekrytering och utbildning pekar även på en formaliserad personalförsörjning. Läckor från Bauman Moskvas statliga tekniska universitet tidigare i år uppges visa hur studenter från militära utbildningsprogram förs vidare till enhet 74455. Enligt Wired och västerländska underrättelsekällor tog överste Jevgenij Serebriakov över ledningen för Sandworm 2022. Han hade tidigare tjänstgjort inom APT28 och kopplats till en operation i Nederländerna 2018.
En APT (Advanced Persistent Threat) är en avancerad och uthållig cyberaktör som genomför riktade angrepp mot utvalda mål, ofta under lång tid. Begreppet används främst om statsstödda hackergrupper som bedriver spionage, stjäl information eller förbereder sabotage. APT-aktörer kännetecknas av hög teknisk kompetens, långsiktig planering och förmåga att behålla dold åtkomst till komprometterade system.
Sandworm är samtidigt mer än så. Enheten är en identifierad militär organisation med egen militärt skolad personal, ledning och uppdrag.
Fysisk åtkomst och digital effekt
Sandworms verksamhet omfattar både cyberintrång och operationer där fysisk närvaro kan ge tillgång till information eller tekniska system. Händelsen i Addis Abeba väcker därför frågor om syftet med Dubikovs intrång.
Operationen mot Organisationen för förbud mot kemiska vapen (OPCW) i Nederländerna 2018 visar mer konkret hur fysisk närvaro kan användas för digital åtkomst. Serebriakov greps under en rysk operation riktad mot OPCW utredning av nervgiftet Novitjok. I hans utrustning fanns bland annat en Wi-Fi Pineapple, ett verktyg som kan användas för att genomföra nätverksattacker på nära håll. Metoden, ofta kallad close access, bygger på att operatören befinner sig fysiskt nära målet för att fånga upp eller manipulera kommunikation.
Sandworms mest väldokumenterade verksamhet handlar dock om cyberattacker med direkta konsekvenser för fysisk infrastruktur.
Den 23 december 2015 angrep enheten ukrainska elbolag. Angriparna fick kontroll över industriella styrsystem och kontrollerade strömbrytare på distans. Omkring 230 000 människor blev utan el. Skadlig kod försvårade samtidigt återställningen. Året därpå slog en attack med skadlig kod, även kallad CRASHOVERRIDE, till mot delar av elnätet i Kiev.
I juni 2017 spreds operation NotPetya genom komprometterad uppdateringsprogramvara. Angreppet raderade data och slog ut verksamhet hos företag och organisationer världen över. Företag som Maersk, Merck och flera sjukhus hörde till de drabbade. De globala skadorna har uppskattats till omkring tio miljarder dollar. Angreppet presenterades till en början som ransomware, men dess destruktiva funktion och spridning gjorde det i praktiken till en omfattande sabotageoperation.
Sedan Rysslands fullskaliga invasion av Ukraina 2022 har Sandworm fortsatt att rikta in sig på energi, logistik, jordbruk och statliga verksamheter. Enheten har använt så kallade wipers, program som raderar data och utvecklat skadeprogram för specifika industriella miljöer. Europeisk säkerhetstjänst har bland annat dokumenterat hur Sandworm tog över ett intrång i ett ukrainskt spannmålsföretag och raderade data. Även polska energianläggningar har utsatts för cyberoperationer med koppling till ryska aktörer.
Angreppen ligger helt i linje med ryska militära mål. Att störa Ukrainas samhällsfunktioner, försvåra logistiken och öka kostnaderna för krigföringen. Sandworm agerar som en central aktör bakom ryska cyberoperationer mot Ukraina.
Cyberoperationer som militärt verktyg
Sandworm visar hur cyberförmåga har integrerats i GRU operativa verksamhet. Enhetens uppdrag omfattar inte bara underrättelseinhämtning, utan också sabotage och angrepp som kan få ekonomiska och fysiska konsekvenser.
Arbetsfördelningen mellan olika ryska cyberaktörer är en del av denna struktur. Sandworm har i vissa fall tagit över redan etablerade intrång från andra grupper för att genomföra den destruktiva fasen. Enheten har också använt hacktivistidentiteter som täckmantel. Microsoft har identifierat en närliggande verksamhet med inriktning på att kompromettera nätverksutrustning för att upprätthålla långvarig åtkomst.
Det innebär att Sandworm inte behöver genomföra varje steg i en operation på egen hand. Andra aktörer kan skapa åtkomst medan enhet 74455 utnyttjar den för sabotage eller andra militära syften.
Sandworm bör förstås som en militär cyberenhet, inte enbart som en grupp avancerade hackare. Åtal mot namngivna officerare, sanktioner mot den organisatoriska enheten, uppgifter om dess ledning och dokumenterade attacker mot kritisk infrastruktur visar hur cyberförmågan har införlivats i GRU verksamhet.
Från intrång i industriella styrsystem till sabotage mot energiförsörjning används cyberoperationer för att uppnå konkreta militära effekter. Sandworms betydelse ligger därför inte bara i dess tekniska kapacitet, utan i dess organisatoriska förankring i den ryska militära underrättelsetjänsten.
Johan Westerholm
