Az ESET kutatói egy korábban nem dokumentált, MythicRatatoskr nevű backdoort azonosítottak, amelyet az UAC-0099 (más néven Earth Sirrush) használhatott az ukrán kormány, a gabona szállítmányozás, az energia szektor, valamint egy logisztikai vállalat elleni támadásban. A támadás 2025. július 16-án kezdődött: az UAC-0099 célzott adathalász e-mailben, rosszindulatú melléklettel jutott be a vállalat hálózatába. A melléklet a MATCHBOIL letöltőt, majd a MATCHWOK backdoort telepítette, amely tartós hozzáférést biztosított a támadóknak. Egy nappal később megjelent a MythicRatatoskr, egy Go-alapú, korábban ismeretlen hátsó ajtó, amellyel a támadók távolról vezérelhették a fertőzött gépeket, parancsokat futtathattak, képernyőképeket készíthettek, valamint fájlokat tölthettek le és fel.

A backdoor legfőbb technikai érdekessége, hogy a parancs és vezérlőszerverét az Yggdrasil mesh hálózaton belül helyezte el. Ez egy decentralizált hálózat, amelyben a csomópontok közötti IPv6-forgalom végponttól végpontig titkosított, így hagyományos hálózati figyeléssel nehezebb azonosítani és blokkolni

a C2-kommunikációt. A MythicRatatoskr többek között áldozati metaadatokat küldött a C2-szervernek, új parancsokat kért le, visszaküldte a parancskimenetet, képernyőképeket készített, valamint fájlokat töltött fel és le. Emellett képes volt mappákat listázni, munkakönyvtárat váltani, shell-parancsot futtatni a cmd.exe segítségével, és fordított SOCKS5 proxyt indítani. Ez utóbbival a támadók a kompromittált hálózaton keresztül irányíthatták további kapcsolataikat. Egyes minták tízperces késleltetéssel indultak, valószínűleg azért, hogy a fertőzés után ne azonnal csatlakozzanak az Yggdrasil-hálózathoz, és ezzel csökkentsék a felderítés esélyét. A kártevő forráskódjában szereplő crond -hivatkozások arra is utalnak, hogy létezhet egy Linux-változat is, bár az ESET eddig Windows-környezetben dokumentálta. Az ESET nagy megbízhatósággal feltételezi, hogy az UAC-0099 a behatolás során átadta a hozzáférést a Sandwormnak, ami 2025. szeptember 17-én, tehát a kezdeti kompromittálás után több mint két hónappal, adattörlő támadást hajtott végre. A támadók a legitim Sysinternals SDelete eszközt használták, amelyet Active Directory-csoport házirenden keresztül juttattak el

a hálózat gépeire, így központilag és széles körben törölhettek adatokat a vállalati Windows-környezetben.

Feltételezhető, hogy az orosz érdekeket szolgáló csoportok egyre inkább munkamegosztással működnek:

• az UAC-0099 kezdeti hozzáférést biztosít,
• míg a Sandworm a későbbi, pusztító jellegű műveleteket végzi.

Az ESET korábban is megfigyelt hasonló együttműködést, például a Gamaredon és a Turla között.

(forrás)