Eksperci z ESET ujawnili nową kampanię cyberprzestępczą, w której grupa UAC-0099 uzyskała dostęp do ukraińskiej firmy logistycznej, a następnie przekazała go grupie Sandworm. Atak rozpoczął się od spearphishingu, który doprowadził do infekcji dropperem MATCHBOIL i backdoorem MATCHWOK. Kluczowym elementem operacji był jednak MythicRatatoskr – zaawansowany backdoor napisany w języku Go.
Unikalną cechą MythicRatatoskr jest wykorzystanie zdecentralizowanej sieci mesh Yggdrasil do komunikacji z serwerem C&C. Sieć ta tworzy szyfrowaną nakładkę IPv6, co sprawia, że infrastruktura dowodzenia jest niezwykle trudna do wykrycia i zniszczenia ze względu na brak centralnego węzła. Po zainfekowaniu maszyn, napastnicy wykorzystali również serwer SOCKS5 do dalszej eksploatacji sieci.
Ostatecznym celem ataku było zniszczenie danych. Grupa Sandworm, przypisywana rosyjskiemu GRU, wykorzystała uzyskany dostęp do przeprowadzenia ataku typu wiper, używając narzędzia SDelete rozsyłanego poprzez zasady Group Policy w Active Directory. Cała operacja pokazuje rosnącą tendencję do współpracy między różnymi grupami powiązanymi z rosyjskimi interesami w celu zwiększenia skuteczności ataków.
