Russische hackersgroep Sandworm gebruikte een nieuwe MythicRatatoskr backdoor via het Yggdrasil mesh-netwerk in een destructieve aanval op een Oekraïens logistiek bedrijf.
De door de Russische staat gesteunde hackersgroep Sandworm werkte samen met een andere dreigingsactor om in 2025 een destructieve wiping-aanval uit te voeren op een Oekraïens logistiek bedrijf. Volgens onderzoek van ESET kreeg UAC-0099, ook bekend als Earth Sirrush, op 16 juli 2025 toegang tot het doelwit via een spear-phishing e-mail met een malware-bijlage. Deze leidde tot de installatie van de MATCHWOK backdoor via een downloader genaamd MATCHBOIL.
Een dag na de uitvoering van MATCHWOK werd een nieuwe, nog niet eerder gedocumenteerde backdoor ingezet, MythicRatatoskr, die communiceert met een command-and-control (C2) server binnen het Yggdrasil mesh-netwerk. De ontwikkeling van deze backdoor begon vermoedelijk tussen december 2024 en februari 2025. MythicRatatoskr verzamelt metadata van het slachtoffer, vraagt nieuwe opdrachten op, verzendt uitvoer van commando's, maakt screenshots en kan bestanden uploaden en downloaden. Daarnaast kan het de werkmap wijzigen, directory-inhoud opvragen, de C2-server URL aanpassen, shell-commando's uitvoeren via cmd.exe en een reverse SOCKS5 proxy opzetten. Om detectie te vermijden, bevat de backdoor een vertraging van tien minuten voordat verbinding wordt gemaakt met het Yggdrasil-netwerk.
Volgens ESET-onderzoekers Anton Cherepanov en Peter Strýček is dit de eerste gedocumenteerde misbruik van Yggdrasil door een door een staat gesteunde groep, wat kan wijzen op een trend waarbij aanvallers experimentele peer-to-peer netwerken gebruiken om hun infrastructuur veerkrachtiger en onopvallender te maken. MythicRatatoskr werd gebruikt om een SOCKS5-server te implementeren voor het routeren van verbindingen via het gecompromitteerde netwerk.
De aanval eindigde op 17 september 2025 met een data-wiping actie door Sandworm, die het SDelete-hulpprogramma via Active Directory Group Policy verspreidde. De NikoWiper malware, ook gelinkt aan Sandworm, is afgeleid van SDelete. Hoewel het onderzochte slachtoffer een Windows-systeem betrof, suggereren verwijzingen naar "crond" in de code van MythicRatatoskr dat er mogelijk ook een Linux-versie van de malware bestaat.
De samenwerking tussen UAC-0099 en Sandworm is niet nieuw. ESET rapporteerde eerder dat UAC-0099 initiële toegang verschaft en vervolgens "gevalideerde doelwitten" overdraagt aan Sandworm voor verdere exploitatie. Deze aanvallen richtten zich op overheids-, energie-, logistieke en graansectoren in Oekraïne. Ook andere Russische groepen zoals Gamaredon en Turla werken samen, waarbij bijvoorbeeld Gamaredons downloader Pterodo wordt ingezet om Turla's Kazuar backdoor te installeren. Dergelijke samenwerking benadrukt het potentieel voor gecoördineerde cyber spionagecampagnes onder Rusland-gerelateerde groepen.
