Grupi Sandworm, i mbështetur nga shteti rus, bashkëpunoi me UAC-0099, i njohur edhe si Earth Sirrush, në një sulm që fshiu të dhënat e një kompanie ukrainase të logjistikës. Sipas ESET, UAC-0099 siguroi hyrjen fillestare më 16 korrik 2025 përmes një emaili spear-phishing me bashkëngjitje keqdashëse. Shkarkuesi MATCHBOIL instaloi më pas backdoor-in MATCHWOK.
Një ditë pas ekzekutimit të MATCHWOK, sulmuesit vendosën MythicRatatoskr, një backdoor të padokumentuar më parë, që komunikon me një server komandimi dhe kontrolli (C2) brenda rrjetit mesh Yggdrasil. Ai mund të ekzekutojë komanda, të marrë pamje ekrani, të transferojë skedarë dhe të krijojë një proxy të kundërt SOCKS5. Disa variante vonojnë nisjen me 10 minuta, me gjasë për të shmangur zbulimin.
UAC-0099 ia kaloi aksesin Sandworm, i cili më 17 shtator 2025 kreu fshirjen e të dhënave duke shpërndarë mjetin SDelete përmes politikave të grupit të Active Directory. Sulmi ndodhi më shumë se dy muaj pas depërtimit fillestar.
Sipas ESET, ky është rasti i parë i dokumentuar i keqpërdorimit të Yggdrasil në këtë mënyrë nga një aktor i lidhur me një shtet. Kompania kishte vërejtur edhe më parë UAC-0099 duke ia kaluar Sandworm objektivat e komprometuar në sektorët qeveritarë, të energjisë, logjistikës dhe drithërave në Ukrainë.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
