MythicRatatoskr: el backdoor que utilizó la red Yggdrasil antes de un ataque destructivo de Sandworm
Un ataque dirigido contra una empresa ucraniana de logística de granos comenzó el 16 de julio de 2025, cuando el grupo UAC-0099 obtuvo acceso inicial mediante un correo de spearphishing con un archivo adjunto malicioso. Esto desencadenó la ejecución de una tarea programada y el despliegue del descargador MATCHBOIL, el cual instaló la puerta trasera MATCHWOK. Al día siguiente, los atacantes incorporaron el backdoor MythicRatatoskr, el cual se ejecuta como un servicio de Windows y establece comunicación con un servidor de comando y control (C&C) a través de la red mesh Yggdrasil.
La red Yggdrasil es una estructura descentralizada que permite conexiones directas entre nodos mediante una superposición IPv6 cifrada de extremo a extremo. Los operadores utilizaron MythicRatatoskr para realizar tareas de reconocimiento enviando información del equipo y del usuario, además de desplegar un servidor SOCKS5 y exfiltrar archivos y capturas de pantalla sin requerir una preparación previa de los datos. Meses después, el 17 de septiembre de 2025, se registró una transferencia de acceso a Sandworm, un grupo vinculado a la inteligencia militar rusa que llevó a cabo un ataque destructivo de borrado de datos utilizando la utilidad SDelete a través de Directivas de Grupo de Active Directory.
La atribución de la primera fase recae en UAC-0099 debido al uso de herramientas de ciberespionaje ya documentadas, como MATCHBOIL y MATCHWOK, orientadas a espiar objetivos en Ucrania y alineadas con intereses rusos. Por su parte, la fase destructiva posterior se atribuye a Sandworm por sus tácticas, técnicas y procedimientos característicos, reflejando una colaboración entre diferentes actores de amenazas respaldados por Rusia para ampliar el impacto de sus operaciones.