Nhóm tấn công UAC-0099 sử dụng backdoor MythicRatatoskr trong mạng Yggdrasil

UAC-0099 đã sử dụng spearphishing để chiếm quyền truy cập vào một công ty logistika ở Ukraine vào ngày 16/7/2025. Kẻ tấn công sau đó triển khai backdoor MythicRatatoskr, một backdoor mới chưa được ghi nhận, qua mạng Yggdrasil. Sandworm sau đó đã thực hiện một cuộc tấn công xóa dữ liệu vào ngày 17/9/2025.

Nội dung chính

• Ngày 16/7/2025, UAC-0099 chiếm quyền truy cập vào một công ty logistika ở Ukraine thông qua spearphishing.
• Kẻ tấn công triển khai backdoor MATCHWOK, sau đó là MythicRatatoskr, qua mạng Yggdrasil.
• MythicRatatoskr sử dụng mạng Yggdrasil để liên lạc với máy chủ C&C.
• Sandworm đã thực hiện cuộc tấn công xóa dữ liệu vào ngày 17/9/2025.

Chi tiết sự việc

Vài tháng sau, vào ngày 17 tháng 9 năm 2025, chúng tôi phát hiện hoạt động xóa dữ liệu trong mạng lưới vận chuyển ngũ cốc bị tấn công. Lỗ hổng này được thực hiện thông qua việc triển khai công cụ SDelete thông qua Directives của Active Directory, sử dụng TTPs tiêu chuẩn của Sandworm đã được chúng tôi quan sát nhiều lần trong dữ liệu telemetry của ESET.

Do đó, chúng tôi đánh giá rằng UAC-0099 có thể hoạt động như một nhóm truy cập ban đầu cho Sandworm.

Bài viết này tập trung vào phân tích của backdoor MythicRatatoskr, mạng lưới Yggdrasil mà nó lưu trữ C&C server và server SOCKS5 liên quan. Các phiên bản ban đầu của MATCHBOIL và MATCHWOK đã được CERT-UA phân tích trong thông báo của họ, trong khi MATCHBOIL và sự phát triển của nó được thảo luận chi tiết hơn trong bài viết của chúng tôi về MATCHBOIL: New tricks, same old evil intentions.

Dựa trên vai trò của backdoor này như một người chuyển tải di chuyển qua mạng lưới Yggdrasil, chúng tôi quyết định gọi nó là MythicRatatoskr.

Từ một góc độ kỹ thuật, Yggdrasil là một mạng lưới mesh phân tán kết nối các thiết bị trực tiếp với nhau mà không cần nút trung tâm, xây dựng một lớp IPv6 được mã hóa trên Internet để cho phép các nút tham gia trao đổi lưu lượng bảo mật từ đầu đến cuối. Người dùng hợp pháp sử dụng loại mạng lưới này để đạt được kết nối resilient, thực hiện nghiên cứu hoặc phát triển các dự án mạng như một sở thích. Do không có nút máy chủ duy nhất kiểm soát mạng, Yggdrasil rất mạnh mẽ và khó bị gián đoạn, những đặc điểm này cũng làm cho nó hấp dẫn cho các nhóm tấn công.

Nó quan trọng phải nhấn mạnh rằng Yggdrasil không được thiết kế để cung cấp sự phiên âm.

Atribución

Sau khi bị tấn công, chuỗi hoạt động tiếp theo dựa trên malware đã được gán cho UAC-0099, cụ thể là downloader MATCHBOIL và backdoor MATCHWOK, điều này dẫn chúng tôi đến kết luận rằng giai đoạn tấn công này do UAC-0099 thực hiện với một mức độ tin cậy cao. Tương tự, chúng tôi cũng gán cho hoạt động xóa dữ liệu được quan sát hai tháng sau cho Sandworm với một mức độ tin cậy cao, dựa trên TTPs được sử dụng.

Chúng tôi đánh giá với một mức độ tin cậy cao rằng UAC-0099 đã chuyển giao quyền truy cập cho Sandworm vào một thời điểm nào đó trong cuộc xâm nhập, mặc dù chúng tôi vẫn chưa xác định được liệu backdoor MythicRatatoskr có được điều khiển chủ yếu bởi UAC-0099 hay Sandworm.

Hồ sơ UAC-0099

UAC-0099 là một nhóm gián điệp mạng có mục tiêu là các tổ chức chính phủ, các tổ chức tài chính và các phương tiện truyền thông ở Ukraina. Dựa trên mục tiêu của họ, chúng tôi đánh giá với một mức độ tin cậy trung bình rằng nhóm này có liên kết với lợi ích Nga. UAC-0099 có thể hoạt động như một initial access broker cho Sandworm, một nhóm liên kết với Nga được biết chủ yếu bởi các cuộc tấn công hủy diệt ở Ukraina.

Nhóm này đã hoạt động ít nhất từ năm 2022 và được CERT-UA báo cáo lần đầu tiên vào tháng 6 năm 2023. Ngoài MATCHBOIL, nhóm này thường triển khai LONEPAGE, một downloader PowerShell có tên từ sự hiện diện của từ page trong URL của các máy chủ C&C của họ.

Khuyến nghị

• Các tổ chức nên cẩn trọng với các email spearphishing và cập nhật hệ thống của mình để tránh bị tấn công.
• Nên kiểm tra và cập nhật các backdoor mới để bảo vệ hệ thống.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn WeLiveSecurity Español. Vui lòng đối chiếu bài gốc trước khi sử dụng.