Zusammenfassung

Dieser Bericht analysiert die Aktivitäten, in deren Verlauf sich UAC‑0099 am 16. Juli 2025 einen ersten Zugriff verschaffte und diesen an Sandworm weitergab, das daraufhin am 17. September 2025 einen Angriff zur Datenlöschung durchführte. Ein besonderer Schwerpunkt liegt auf der Backdoor „MythicRatatoskr“, die sich dadurch auszeichnet, dass sie das Yggdrasil-Mesh-Netzwerk nutzt, um mit einem darin gehosteten C&C-Server zu kommunizieren.

Wir haben unsere Erkenntnisse zu MythicRatatoskr am 18. September 2026 auf der LABScon und am 16. Oktober 2026 auf der Virus Bulletin-Konferenz vorgestellt.

Kernpunkte dieses Blogbeitrags:
  • Am 16. Juli 2025 verschaffte sich UAC-0099 über eine Spear-Phishing-E-Mail mit einem schädlichen Anhang ersten Zugriff auf ein Getreidelogistikunternehmen in der Ukraine, was zur Ausführungs-Kette der „MATCHWOK“-Backdoor führte.
  • Einen Tag später setzten die Angreifer „MythicRatatoskr“ ein, eine bisher undokumentierte Backdoor, die mit einem C&C-Server kommuniziert, der innerhalb des Yggdrasil-Mesh-Netzwerks gehostet wird. Wir haben die Backdoor bisher nirgendwo anders entdeckt und Hinweise darauf gefunden, dass möglicherweise auch eine Linux-Variante existiert.
  • Yggdrasil ist ein dezentrales Mesh-Netzwerk, das ein experimentelles Routing-Schema implementiert, bei dem die IPv6-Kommunikation zwischen den Knoten durchgehend geschützt ist.
  • Letztendlich übergab UAC-0099 den Zugriff an Sandworm, das daraufhin einen Angriff zur Datenlöschung durchführte.

Zusammenarbeit zwischen russlandnahen Akteuren

Die in diesem Bericht dokumentierte Übergabe ist kein Einzelfall. Wie oben erwähnt, wird Sandworm der GRU-Einheit 74455 zugeschrieben. Die Zielauswahl von UAC-0099 lässt uns zu der Einschätzung gelangen, dass diese mit russischen Interessen im Einklang steht.

Anfang 2025 deckten wir auf, dass die mit Russland verbündete Gruppe Gamaredon mit Turla, einem weiteren mit Russland verbündeten Akteur, zusammenarbeitete; wir haben unsere Erkenntnisse in unserem Blogbeitrag „Gamaredon X Turla collab“ dokumentiert. Beide Gruppen stehen in Verbindung mit dem Föderalen Sicherheitsdienst der Russischen Föderation (FSB). Diese Art der Zusammenarbeit unterstreicht das Potenzial für koordinierte Cyberspionagekampagnen unter mit Russland verbündeten Gruppen, die wahrscheinlich darauf abzielen, ihre operative Wirkung zu verstärken. In der Vergangenheit arbeitete Gamaredon mit einem Akteur zusammen, den wir entdeckt und „InvisiMole“ genannt haben. Vor diesem Hintergrund ist eine Übergabe von UAC-0099 an Sandworm hinsichtlich der konkret beteiligten Akteure zwar ungewöhnlich, als Muster jedoch nicht mehr überraschend.

Überblick

Laut ESET Telemetriedaten verliefen die Ereignisse wie folgt: Am 16. Juli 2025 um 06:59 Uhr wurde auf einem Rechner der Zielorganisation eine geplante Aufgabe namens „pdfopentask“ ausgeführt. Diese führte eine PowerShell-Payload aus der Datei „%temp%\temporarydoc.txt“ aus.

Eine Minute später wurde MATCHBOIL eingesetzt. MATCHBOIL ist ein Downloader, der in diesem Fall die MATCHWOK-Backdoor (C&C: https://uztickets[.]com) von https://egyptanimals[.]com/animals/photoalbum installierte. Am folgenden Tag um 09:28 Uhr wurde eine neue Binärdatei auf den Rechner übertragen: die MythicRatatoskr-Backdoor. Aufgrund des zeitlichen Zusammenhangs sind wir mit hoher Sicherheit davon überzeugt, dass die MATCHWOK-Ausführungskette zur Installation von MythicRatatoskr geführt hat. Unsere Telemetriedaten zeigen ferner, dass anschließend weitere MythicRatatoskr-Samples auf anderen Rechnern innerhalb der Organisation installiert wurden, diesmal unter Verwendung eines OpenSSH-SFTP-Servers.

Später erkannte die ESET Telemetrie auf einigen der Rechner einen SOCKS5-Server, wobei eine Probe mit WinRAR aus einem unbekannten Archiv extrahiert worden war. Wir gehen davon aus, dass der SOCKS5-Server mithilfe von MythicRatatoskr bereitgestellt wurde.

Etwa zwei Monate später, am 17. September 2025, stellten wir bei dem kompromittierten Getreidelogistikunternehmen Datenlöschungen fest. Der Angriff zum Löschen von Daten wurde durch die Bereitstellung des Dienstprogramms „SDelete“ über die Active-Directory-Gruppenrichtlinie ausgeführt – eine typische Taktik, Technik und Vorgehensweise (TTPs) von Sandworm, die wir in der ESET-Telemetrie bereits mehrfach beobachtet haben.

Daher gehen wir davon aus, dass UAC‑0099 als Gruppe für den Erstzugang für Sandworm fungieren kann.

Dieser Blogbeitrag konzentriert sich in erster Linie auf die Analyse der MythicRatatoskr-Backdoor, des Yggdrasil-Netzwerks, das deren C&C-Server hostet, sowie des dazugehörigen SOCKS5-Servers. Die ersten Versionen von MATCHBOIL und MATCHWOK wurden bereits von CERT-UA in seinem Advisory analysiert, wobei MATCHBOIL und seine Weiterentwicklung in unserem Blogbeitrag „MATCHBOIL: Neue Tricks, alte böse Absichten“ näher behandelt wurden. Diese Tools werden daher hier nicht weiter erläutert.

Ein Eichhörnchen im Weltenbaum

Das Wort „Yggdrasil“ stammt aus der nordischen Mythologie, wo es sich auf einen heiligen Baum bezieht, der die verschiedenen Reiche des Kosmos miteinander verbindet. In diesem Baum lebt ein Eichhörnchen namens Ratatoskr, das Nachrichten zwischen der Baumkrone und den Wurzeln hin- und herträgt. Angesichts der Rolle der Backdoor als Bote, der durch das Yggdrasil-Netzwerk huscht, haben wir beschlossen, die Backdoor „MythicRatatoskr“ zu nennen.

Technisch gesehen ist Yggdrasil ein dezentrales Mesh-Netzwerk, das Geräte ohne zentralen Knotenpunkt direkt miteinander verbindet und ein verschlüsseltes IPv6-Overlay über dem Internet aufbaut, sodass teilnehmende Knoten Ende-zu-Ende-geschützten Datenverkehr austauschen können. Legitime Nutzer nutzen solche Mesh-Netzwerke für ausfallsichere Konnektivität, Forschungszwecke und Hobby-Netzwerke. Da kein einzelner Server das Mesh betreibt, ist das Netzwerk robust und schwer zu stören – Eigenschaften, die es auch für Angreifer attraktiv machen. Wichtig ist, dass Yggdrasil nicht darauf ausgelegt ist, Anonymität zu gewährleisten.

Quellenangabe

Die Ausführungskette nach der Kompromittierung stützte sich auf bekannte Malware, die bereits UAC‑0099 zugeordnet wurde – nämlich den MATCHBOIL-Downloader und die MATCHWOK-Backdoor –, was uns dazu veranlasst, diese Phase des Angriffs mit hoher Sicherheit UAC‑0099 zuzuschreiben. Die zwei Monate später beobachteten Datenlöschungsaktivitäten schreiben wir – ebenfalls mit hoher Sicherheit – Sandworm zu, basierend auf den dabei angewandten TTPs.

Darüber hinaus gehen wir mit hoher Sicherheit davon aus, dass UAC‑0099 den Zugriff zu einem bestimmten Zeitpunkt während des Eindringens an Sandworm weitergegeben hat, obwohl wir bislang noch nicht feststellen konnten, ob die „MythicRatatoskr“-Backdoor in erster Linie von UAC‑0099 oder von Sandworm betrieben wurde.

Profil von UAC-0099

UAC‑0099 ist eine Cyberspionagegruppe, die Regierungsorganisationen, Finanzinstitute und Medien in der Ukraine ins Visier nimmt. Aufgrund der Zielauswahl gehen wir mit mittlerer Sicherheit davon aus, dass die Gruppe mit russischen Interessen verbunden ist. UAC-0099 kann als Vermittler für den Erstzugang für Sandworm fungieren, eine mit Russland verbündete Gruppe, die vor allem für ihre zerstörerischen Angriffe in der Ukraine bekannt ist.

Die Gruppe ist mindestens seit 2022 aktiv und wurde erstmals im Juni 2023 von CERT‑UA gemeldet. Neben MATCHBOIL setzt die Gruppe in der Regel auch LONEPAGE ein, einen PowerShell-Downloader, der nach dem Vorkommen des Wortes „page“ in seinen C&C-URLs benannt ist.

Sandworm-Profil

Sandworm ist eine mit Russland verbundene Bedrohungsgruppe, die zerstörerische Angriffe durchführt. Sie ist vor allem für Angriffe auf ukrainische Energieunternehmen im Dezember 2015 und Dezember 2016 bekannt, die zu Stromausfällen führten. Im Juni 2017 startete Sandworm den Datenlöschangriff „NotPetya“, bei dem ein Supply-Chain-Vektor genutzt wurde, indem die ukrainische Buchhaltungssoftware M.E.Doc kompromittiert wurde. Im Februar 2018 startete Sandworm den Datenlöschangriff „Olympic Destroyer“ gegen die Organisatoren der Olympischen Winterspiele 2018 in Pyeongchang.

Die Sandworm-Gruppe nutzt hochentwickelte Malware wie Industroyer, die über industrielle Steuerungsprotokolle mit Geräten bei Energieunternehmen kommunizieren kann. Im April 2022 vereitelte CERT‑UA einen Angriff auf ein Energieunternehmen in der Ukraine, bei dem die Sandworm-Gruppe versuchte, eine neue Variante dieser Malware, Industroyer2, einzusetzen.

Seit Februar 2022 ist Sandworm in der Ukraine sehr aktiv und setzt Datenlöschprogramme gegen strategisch wichtige Organisationen ein.

Im Oktober 2020 veröffentlichte das US-Justizministerium eine Anklageschrift gegen sechs russische Computerhacker, denen vorgeworfen wird, verschiedene Sandworm-Angriffe vorbereitet und durchgeführt zu haben. Wie bereits erwähnt, wird die Gruppe gemeinhin der Einheit 74455 des GRU zugeschrieben.

Informationen zur Kompromittierungskette, zum genauen Ablauf und den IOCs des Angriffs gibt im englischsprachigen Blogpost:

https://www.welivesecurity.com/en/eset-research/mythicratatoskr-yggdrasil-enabled-backdoor-deployed-uac0099-sandworm-collaboration