Laut ESET drang die Gruppe UAC-0099 am 16. Juli 2025 über eine gezielte Phishing-Mail mit schädlichem Anhang in das Netz eines ukrainischen Logistikunternehmens ein. Der Downloader MATCHBOIL installierte danach die Hintertür MATCHWOK.1 Einen Tag später folgte die bislang nicht dokumentierte Hintertür MythicRatatoskr, deren Steuerserver im Peer-to-Peer-Mesh-Netz Yggdrasil liegt. Sie führt Befehle über cmd.exe aus, erstellt Screenshots, überträgt Dateien und startet einen Reverse-SOCKS5-Proxy. Manche Varianten warten zehn Minuten bis zum Start, vermutlich um einer Erkennung zu entgehen.1 Danach erhielt Sandworm den Zugang und löschte am 17. September 2025 Daten, indem sie das Werkzeug SDelete über Gruppenrichtlinien des Active Directory verteilte.1 Die ESET-Forscher sehen darin den ersten ihnen bekannten Missbrauch von Yggdrasil dieser Art durch eine staatsnahe Gruppe und halten einen breiteren Trend für möglich; das ist eine Einschätzung, keine gesicherte Tatsache.1 Verweise auf „crond“ im Code deuten auf eine mögliche Linux-Version hin, die nicht bestätigt ist.1 Einschätzung der Redaktion: Verteidiger sollten E-Mail-Anhänge, Änderungen an Gruppenrichtlinien und ungewöhnlichen Peer-to-Peer-Datenverkehr genauer überwachen.

  1. [1] Russian-Linked Hackers Used New Mesh Network Backdoor in Destructive Ukraine AttackThe Hacker News