Según ESET, el 16 de julio de 2025 el grupo UAC-0099 accedió a la red de una empresa logística ucraniana mediante un correo de phishing dirigido con un adjunto malicioso. El descargador MATCHBOIL instaló después la puerta trasera MATCHWOK.1 Un día más tarde se desplegó MythicRatatoskr, una puerta trasera no documentada hasta entonces, con su servidor de control alojado en la red mallada entre pares Yggdrasil. Ejecuta comandos mediante cmd.exe, toma capturas de pantalla, transfiere archivos y abre un proxy SOCKS5 inverso. Algunas muestras incluyen un retraso de inicio de 10 minutos, probablemente para evitar la detección.1 Luego Sandworm obtuvo el acceso y, el 17 de septiembre de 2025, borró datos distribuyendo la utilidad SDelete mediante directivas de grupo de Active Directory.1 Los investigadores de ESET lo consideran el primer caso documentado que conocen de este abuso de Yggdrasil por un grupo alineado con un Estado y creen que podría indicar una tendencia; es una valoración, no un hecho establecido.1 Referencias a «crond» en el código sugieren una posible versión para Linux, no confirmada.1 En opinión de la redacción, conviene revisar con más cuidado los adjuntos de correo, vigilar los cambios en directivas de grupo y el tráfico entre pares inusual.

  1. [1] Russian-Linked Hackers Used New Mesh Network Backdoor in Destructive Ukraine AttackThe Hacker News