Laut Erkenntnissen von ESET, über die The Hacker News am 23. Oktober 2026 berichtete, wurde ein ukrainisches Logistikunternehmen am 17. September 2025 Opfer eines destruktiven Angriffs mit Datenlöschung. Zuvor hatte sich die Bedrohungsgruppe UAC-0099 Zugang verschafft und diesen anschließend an Sandworm weitergereicht.
Bei dem Eindringen kam eine bislang nicht dokumentierte Backdoor namens MythicRatatoskr zum Einsatz, deren Command-and-Control-Server innerhalb des Yggdrasil-Mesh-Netzwerks betrieben wurde. ESET beschrieb dies als die erste dokumentierte Nutzung von Yggdrasil auf diese Weise durch einen staatlich nahestehenden Bedrohungsakteur.
Vom Phishing zum destruktiven Angriff
ESET datiert den ersten Zugriff auf den 16. Juli 2025. Damals verschickte UAC-0099, auch unter dem Namen Earth Sirrush bekannt, eine Spear-Phishing-E-Mail mit einem schädlichen Anhang. Der Anhang führte zu einem Downloader namens MATCHBOIL, der die Backdoor MATCHWOK installierte.
MythicRatatoskr wurde einen Tag nach der Ausführung von MATCHWOK eingesetzt. Mehr als zwei Monate, nachdem UAC-0099 seinen Fuß in der Tür hatte, führte Sandworm laut den Forschern die Löschaktion durch. Dafür verteilte die Gruppe das Werkzeug SDelete über Active Directory Group Policy.
Der Bericht beschreibt eine Übergabe zwischen den beiden Gruppen: UAC-0099 sicherte den Zugang, während Sandworm die destruktive Phase durchführte. ESET hatte bereits im APT Activity Report Q2 2025–Q3 2025 ein ähnliches Muster festgestellt. Dort beschrieb das Unternehmen, wie UAC-0099 „validierte Ziele“ an Sandworm für die weitere Post-Exploitation übergab. Diese Operationen richteten sich gegen Regierung, Energiesektor, Logistik und Getreidewirtschaft in der Ukraine.
Eine Backdoor mit Yggdrasil für Command and Control
ESET fand Hinweise darauf, dass die Entwicklung von MythicRatatoskr irgendwann zwischen Dezember 2024 und Februar 2025 begann. Die Backdoor übermittelt Metadaten des Opfers an ihren Command-and-Control-Server, fragt dort nach Anweisungen und sendet die Befehlsausgaben zurück. Außerdem kann sie Screenshots anfertigen sowie Dateien hochladen und herunterladen.
Weitere Funktionen sind das Ändern des aktuellen Arbeitsverzeichnisses, das Auflisten von Verzeichnisinhalten, das Aktualisieren der URL des Command-and-Control-Servers, das Ausführen von Shell-Befehlen über cmd.exe sowie das Starten eines Reverse-SOCKS5-Proxys. Bei dem untersuchten Eindringen soll die Malware genutzt worden sein, um einen SOCKS5-Server bereitzustellen, über den Verbindungen durch das kompromittierte Netzwerk geleitet wurden.
Einige Artefakte enthielten eine Startverzögerung von zehn Minuten. Die Forscher schätzten, dass dies wahrscheinlich dazu beitrug, dass sich die Malware nicht sofort mit Yggdrasil verband und so einer Entdeckung entging. Die Quelle belegt jedoch nicht, dass die Verzögerung die Malware tatsächlich verborgen hat.
Die ESET-Forscher Anton Cherepanov und Peter Strýček erklärten, der Einsatz von Yggdrasil könnte darauf hindeuten, dass Angreifer zunehmend experimentelle Peer-to-Peer-Netzwerke nutzen, um widerstandsfähigere und weniger sichtbare Infrastruktur aufzubauen. Dabei handelt es sich weiterhin um eine Einschätzung und nicht um einen Beleg für einen breiteren Trend.
Die untersuchte Kompromittierung betraf ein Windows-System. Verweise auf crond im Quellcode von MythicRatatoskr legten für ESET nahe, dass es möglicherweise auch eine Linux-Version gibt. Die berichteten Ergebnisse bestätigten eine solche Version jedoch nicht.
