По данным ESET, 16 июля 2025 года группа UAC-0099 получила доступ к сети украинской логистической компании через целевое фишинговое письмо с вредоносным вложением. После этого загрузчик MATCHBOIL установил бэкдор MATCHWOK.1 Днём позже был развёрнут ранее не описанный бэкдор MythicRatatoskr, чей управляющий сервер размещён в одноранговой mesh-сети Yggdrasil. Он выполняет команды через cmd.exe, делает снимки экрана, передаёт файлы и запускает обратный SOCKS5-прокси. В некоторых образцах есть 10-минутная задержка запуска, вероятно, для обхода обнаружения.1 Затем доступ получила Sandworm, которая 17 сентября 2025 года стёрла данные, распространив утилиту SDelete через групповые политики Active Directory.1 Исследователи ESET называют это первым известным им случаем такого злоупотребления Yggdrasil со стороны группы, связанной с государством, и допускают, что это может стать тенденцией. Это оценка исследователей, а не установленный факт.1 Упоминания «crond» в коде указывают на возможную Linux-версию, но её существование не подтверждено.1 По мнению редакции, защитникам стоит внимательнее проверять вложения в письмах, отслеживать изменения групповых политик и необычный одноранговый сетевой трафик.

  1. [1] Russian-Linked Hackers Used New Mesh Network Backdoor in Destructive Ukraine AttackThe Hacker News