El grupo de hackers patrocinado por el Estado ruso Sandworm colaboró con otro actor de amenazas para perpetrar un ataque destructivo de borrado de datos contra una empresa de logística ucraniana el año pasado, según un informe de ESET.
De acuerdo con la investigación, UAC-0099 (también conocido como Earth Sirrush) obtuvo acceso inicial al objetivo el 16 de julio de 2025 mediante un correo de spear-phishing con un archivo adjunto malicioso. Este condujo al despliegue del backdoor MATCHWOK a través de un descargador denominado MATCHBOIL. Posteriormente, el acceso fue cedido a Sandworm, que ejecutó un ataque de borrado de datos el 17 de septiembre de 2025, más de dos meses después de haber obtenido el punto de apoyo inicial.
Lo más destacado del ataque es el uso por parte de UAC-0099 de un backdoor previamente no documentado llamado MythicRatatoskr, que se comunica con un servidor de comando y control (C2) alojado dentro de la red mesh Yggdrasil. Este backdoor se desplegó un día después de la ejecución de MATCHWOK.
Hay indicios de que el desarrollo del backdoor comenzó entre diciembre de 2024 y febrero de 2025. Su funcionalidad es relativamente sencilla: envía metadatos de la víctima al servidor C2, consulta nuevos comandos, transmite la salida de comandos, toma capturas de pantalla y carga/descarga archivos. También puede modificar el directorio de trabajo actual, enumerar el contenido de directorios, cambiar la URL del servidor C2, ejecutar comandos de shell mediante "cmd.exe" y generar un proxy SOCKS5 inverso. Además, algunos artefactos incluyen un retraso de 10 minutos en el inicio, probablemente para evitar conectarse inmediatamente a la red Yggdrasil y eludir la detección.
"Hasta donde sabemos, este es el primer caso documentado de abuso de Yggdrasil de esta manera por parte de un actor de amenazas alineado con un Estado, y podría señalar una tendencia más amplia de adversarios que adoptan redes peer-to-peer experimentales para aumentar la resiliencia y el sigilo de su infraestructura", señalaron los investigadores de ESET Anton Cherepanov y Peter Strýček.
Se dice que MythicRatatoskr se utilizó para desplegar un servidor SOCKS5 que enrutara las conexiones a través de la red comprometida. El ataque culminó con Sandworm llevando a cabo un borrado de datos mediante la implementación de la utilidad SDelete a través de una Política de Grupo de Active Directory. Cabe señalar que el malware NikoWiper, vinculado a Sandworm, también deriva de SDelete.
Aunque el ataque investigado por ESET comprometió un sistema Windows, las referencias al código fuente de "crond" dentro de MythicRatatoskr sugieren la posible existencia de una versión equivalente para Linux del malware.
La evaluación de que UAC-0099 probablemente colabora con Sandworm no es nueva. En su Informe de Actividad APT del segundo y tercer trimestre de 2025, ESET indicó que observó a UAC-0099 realizando operaciones de acceso inicial y transfiriendo posteriormente "objetivos validados" a Sandworm para su explotación posterior. Estas acciones se dirigieron a los sectores gubernamental, energético, logístico y cerealero en Ucrania, según la compañía eslovaca de ciberseguridad.
Este tipo de cooperación entre actores alineados con Rusia tampoco es nueva. El año pasado, ESET dijo haber identificado evidencia de que Gamaredon y Turla trabajaban juntos para atacar y comprometer de forma conjunta entidades ucranianas, con una intrusión que aprovechó PteroGraphin de Gamaredon para desplegar el backdoor Kazuar de Turla. Además, un descargador vinculado a Gamaredon llamado Pterodo se ha utilizado para recuperar y ejecutar InvisiMole, un programa de spyware modular empleado contra objetivos en Ucrania y Rusia.
"Este tipo de cooperación subraya el potencial de campañas coordinadas de ciberespionaje entre grupos alineados con Rusia, probablemente con la intención de amplificar su impacto operativo", afirmó ESET.
Acerca del autor
