Une société ukrainienne de logistique a subi une attaque destructrice d'effacement de données le 17 septembre 2025, après que le groupe de menace UAC-0099 y a obtenu l'accès, puis l'a transmis à Sandworm, selon les conclusions d'ESET rapportées par The Hacker News le 23 octobre 2026.
L'intrusion reposait sur une porte dérobée jusque-là non documentée, MythicRatatoskr, dont le serveur de commande et de contrôle fonctionnait au sein du réseau maillé Yggdrasil. ESET décrit cette activité comme le premier usage documenté de Yggdrasil de cette manière par un acteur de menace lié à un État.
De l'hameçonnage à l'attaque destructrice
ESET situe l'accès initial au 16 juillet 2025, date à laquelle UAC-0099, également connu sous le nom d'Earth Sirrush, a envoyé un courriel d'hameçonnage ciblé contenant une pièce jointe malveillante. Cette pièce jointe menait à un téléchargeur appelé MATCHBOIL, qui déployait la porte dérobée MATCHWOK.
MythicRatatoskr a été déployé un jour après l'exécution de MATCHWOK. Plus de deux mois après qu'UAC-0099 a établi sa présence, Sandworm a mené l'opération d'effacement en déployant l'utilitaire SDelete via la stratégie de groupe Active Directory, selon les chercheurs.
Le récit décrit un transfert entre les deux groupes : UAC-0099 a sécurisé l'accès, tandis que Sandworm a conduit l'étape destructrice. ESET avait déjà signalé un schéma similaire dans son rapport d'activité APT du T2 2025 au T3 2025, où il décrivait UAC-0099 transférant des « cibles validées » à Sandworm pour une exploitation post-compromission. Ces opérations visaient les secteurs gouvernemental, énergétique, logistique et céréalier de l'Ukraine.
Une porte dérobée utilisant Yggdrasil pour le commandement et le contrôle
ESET a relevé des indices suggérant que le développement de MythicRatatoskr a commencé entre décembre 2024 et février 2025. La porte dérobée envoie les métadonnées de la victime à son serveur de commande et de contrôle, interroge celui-ci pour obtenir des instructions et renvoie les résultats des commandes. Elle peut également prendre des captures d'écran et téléverser ou télécharger des fichiers.
Parmi ses autres fonctions figurent le changement du répertoire de travail courant, la liste du contenu des répertoires, la mise à jour de l'URL du serveur de commande et de contrôle, l'exécution de commandes shell via cmd.exe, ainsi que la création d'un proxy SOCKS5 inversé. Dans l'intrusion étudiée, le logiciel malveillant aurait été utilisé pour déployer un serveur SOCKS5 afin de faire transiter les connexions par le réseau compromis, selon les informations rapportées.
Certains artefacts comprenaient un délai de démarrage de 10 minutes. Les chercheurs ont estimé que ce délai avait probablement aidé le logiciel malveillant à éviter de se connecter immédiatement à Yggdrasil et à échapper à la détection ; la source n'établit cependant pas que ce délai a réussi à le dissimuler.
Les chercheurs d'ESET Anton Cherepanov et Peter Strýček ont déclaré que l'usage de Yggdrasil pourrait signaler une adoption plus large de réseaux pair-à-pair expérimentaux par des adversaires en quête d'infrastructures plus résilientes et moins visibles. Il s'agit toujours d'une hypothèse, et non d'une preuve d'une tendance plus large.
La compromission étudiée touchait un système Windows. Les références à crond dans le code source de MythicRatatoskr ont fait penser à ESET qu'une version Linux pourrait également exister, mais les conclusions rapportées ne confirment pas l'existence d'une telle version.
