Una empresa de logística ucraniana sufrió un ataque destructivo de borrado de datos el 17 de septiembre de 2025, después de que el grupo de amenazas UAC-0099 obtuviera acceso y, posteriormente, se lo entregara a Sandworm, según los hallazgos de ESET informados por The Hacker News el 23 de octubre de 2026.
La intrusión implicó una puerta trasera hasta entonces no documentada, MythicRatatoskr, cuyo servidor de comando y control operaba dentro de la red mesh Yggdrasil. ESET describió la actividad como el primer uso documentado de Yggdrasil de esta forma por parte de un actor de amenazas alineado con un Estado.
De la suplantación de identidad al ataque destructivo
ESET situó el acceso inicial el 16 de julio de 2025, cuando UAC-0099, también conocido como Earth Sirrush, envió un correo de spear-phishing con un archivo adjunto malicioso. Ese archivo llevaba a un downloader llamado MATCHBOIL, que desplegaba la puerta trasera MATCHWOK.
MythicRatatoskr se desplegó un día después de que se ejecutara MATCHWOK. Más de dos meses después de que UAC-0099 estableciera su punto de apoyo, Sandworm llevó a cabo la operación de borrado al desplegar la utilidad SDelete mediante la Directiva de grupo de Active Directory, según los investigadores.
El caso describe un traspaso entre los dos grupos: UAC-0099 aseguró el acceso, mientras que Sandworm ejecutó la fase destructiva. ESET ya había informado de un patrón similar en su APT Activity Report Q2 2025–Q3 2025, donde describía cómo UAC-0099 transfería “objetivos validados” a Sandworm para la posterior explotación. Esas operaciones tenían como objetivo los sectores gubernamental, energético, logístico y de cereales de Ucrania.
Una puerta trasera que usa Yggdrasil para el mando y control
ESET encontró indicios de que el desarrollo de MythicRatatoskr comenzó en algún momento entre diciembre de 2024 y febrero de 2025. La puerta trasera envía metadatos de la víctima a su servidor de comando y control, consulta periódicamente si hay instrucciones y devuelve la salida de los comandos. También puede tomar capturas de pantalla y subir o descargar archivos.
Entre sus otras funciones se incluyen cambiar el directorio de trabajo actual, listar el contenido de directorios, actualizar la URL del servidor de comando y control, ejecutar comandos de shell mediante cmd.exe y crear un proxy SOCKS5 inverso. En la intrusión investigada, según se informó, el malware se usó para desplegar un servidor SOCKS5 que enrutaba las conexiones a través de la red comprometida.
Algunos artefactos incluían un retraso de 10 minutos al iniciarse. Los investigadores consideraron que esto probablemente ayudó al malware a evitar conectarse de inmediato a Yggdrasil y a eludir la detección; la fuente no establece que el retraso lograra ocultarlo con éxito.
Los investigadores de ESET Anton Cherepanov y Peter Strýček afirmaron que el uso de Yggdrasil podría indicar una adopción más amplia de redes peer-to-peer experimentales por parte de adversarios que buscan infraestructuras más resilientes y menos visibles. Sigue siendo una valoración, no una prueba de una tendencia más amplia.
El compromiso investigado afectó a un sistema Windows. Las referencias a crond en el código fuente de MythicRatatoskr sugirieron a ESET que también podría existir un equivalente para Linux, pero los hallazgos publicados no confirmaron esa versión.
