Un'azienda di logistica ucraina ha subito un attacco distruttivo di cancellazione dei dati il 17 settembre 2025, dopo che il gruppo di minacce UAC-0099 ne ha ottenuto l'accesso e lo ha successivamente passato a Sandworm, secondo i risultati di ESET riportati da The Hacker News il 23 ottobre 2026.
L'intrusione ha coinvolto una backdoor finora non documentata, MythicRatatoskr, il cui server di comando e controllo operava all'interno della rete mesh Yggdrasil. ESET ha descritto questa attività come il primo utilizzo documentato di Yggdrasil in questo modo da parte di un attore di minaccia legato a uno Stato.
Dal phishing a un attacco distruttivo
ESET ha ricondotto l'accesso iniziale al 16 luglio 2025, quando UAC-0099, noto anche come Earth Sirrush, ha inviato un'email di spear phishing con un allegato malevolo. L'allegato portava a un downloader chiamato MATCHBOIL, che installava la backdoor MATCHWOK.
MythicRatatoskr è stato installato un giorno dopo l'esecuzione di MATCHWOK. Oltre due mesi dopo che UAC-0099 si era stabilito nel sistema, Sandworm ha eseguito l'operazione di cancellazione distribuendo l'utilità SDelete tramite Group Policy di Active Directory, secondo i ricercatori.
Il resoconto descrive un passaggio di consegne tra i due gruppi: UAC-0099 ha ottenuto l'accesso, mentre Sandworm ha condotto la fase distruttiva. ESET aveva già segnalato uno schema simile nel suo APT Activity Report Q2 2025–Q3 2025, descrivendo come UAC-0099 trasferisse a Sandworm "obiettivi validati" per la successiva fase di post-sfruttamento. Quelle operazioni hanno preso di mira i settori governativo, energetico, logistico e cerealicolo dell'Ucraina.
Una backdoor che usa Yggdrasil per il comando e controllo
ESET ha rilevato indicazioni secondo cui lo sviluppo di MythicRatatoskr è iniziato tra dicembre 2024 e febbraio 2025. La backdoor invia i metadati della vittima al server di comando e controllo, interroga il server per ricevere istruzioni e restituisce l'output dei comandi. Può anche acquisire screenshot e caricare o scaricare file.
Altre funzioni includono il cambio della directory di lavoro corrente, l'elenco dei contenuti delle directory, l'aggiornamento dell'URL del server di comando e controllo, l'esecuzione di comandi shell tramite cmd.exe e l'avvio di un proxy SOCKS5 inverso. Nell'intrusione analizzata, secondo quanto riportato, il malware è stato usato per installare un server SOCKS5 che instradava le connessioni attraverso la rete compromessa.
Alcuni artefatti includevano un ritardo di avvio di dieci minuti. I ricercatori hanno valutato che questo abbia probabilmente aiutato il malware a non connettersi subito a Yggdrasil e a eludere il rilevamento; la fonte non stabilisce che il ritardo sia effettivamente riuscito a nasconderlo.
I ricercatori di ESET Anton Cherepanov e Peter Strýček hanno affermato che l'uso di Yggdrasil potrebbe indicare un'adozione più ampia di reti peer-to-peer sperimentali da parte di attaccanti alla ricerca di infrastrutture più resistenti e meno visibili. Resta una valutazione, non una prova di una tendenza più ampia.
La compromissione analizzata ha riguardato un sistema Windows. I riferimenti a crond nel codice sorgente di MythicRatatoskr hanno suggerito a ESET che potesse esistere anche una versione per Linux, ma i risultati riportati non confermavano una versione del genere.
