En septiembre de 2025, una empresa ucraniana dedicada a la logística de granos sufrió una eliminación masiva de datos que paralizó sus operaciones. La investigación reveló que el ataque fue el resultado de una colaboración entre dos grupos de amenazas rusas: UAC-0099 y Sandworm (vinculado al GRU). El incidente no solo evidencia la sofisticación de los actores estatales, sino también la adopción de infraestructuras de comando y control (C2) poco convencionales, como la red Yggdrasil. Este briefing desglosa lo que se conoce, el análisis técnico y las recomendaciones para los equipos de seguridad.

Qué sabemos

Según la fuente, UAC-0099 obtuvo el acceso inicial a la red de la empresa mediante una campaña de phishing en julio de 2025. Una vez dentro, el grupo instaló el backdoor llamado MatchWok, que sirvió como punto de apoyo para la posterior transferencia de control.

Posteriormente, el acceso fue entregado a Sandworm, una unidad del GRU conocida por sus operaciones de sabotaje y espionaje. En septiembre de 2025, Sandworm ejecutó una fase de destrucción que consistió en un borrado masivo de datos críticos, afectando la capacidad operativa de la compañía de granos.

El ataque incluyó la implantación de un backdoor previamente desconocido, MythicRatatoskr, y utilizó la red descentralizada Yggdrasil para ocultar los canales de C2. Este es el primer caso documentado de abuso de Yggdrasil por parte de un actor estatal, lo que amplía el espectro de vectores de evasión que los defensores deben vigilar.

Análisis técnico

Los vectores de ataque se alinean con la cadena de suministro típica de grupos avanzados: phishing para el acceso inicial, despliegue de un backdoor de acceso persistente (MatchWok) y posterior escalada a un payload destructivo (MythicRatatoskr). La colaboración entre UAC-0099 y Sandworm indica una coordinación operativa que permite a un grupo de acceso inicial actuar como “vendedor” de acceso a una unidad de sabotaje estatal.

El uso de Yggdrasil como capa de C2 es particularmente relevante. Al ser una red de enrutamiento basada en IPv6 sin servidores centrales, dificulta la detección tradicional basada en listas negras o análisis de tráfico a dominios conocidos. La capacidad de Sandworm para integrar MythicRatatoskr con esta infraestructura sugiere un nivel de desarrollo interno que supera las herramientas comerciales.

El impacto del borrado de datos fue inmediato: la empresa perdió registros de inventario, rutas de transporte y datos de clientes, lo que provocó interrupciones en la cadena de suministro de granos. En un contexto de conflicto, la degradación de la logística alimentaria tiene repercusiones estratégicas más amplias, subrayando la motivación política detrás del ataque.

Qué deben hacer los equipos de seguridad

  • Reforzar la detección de correos de phishing mediante filtros de contenido y simulaciones de entrenamiento para usuarios.
  • Implementar monitoreo de integridad de archivos críticos y alertas de borrado masivo o cambios inesperados en sistemas de almacenamiento.
  • Auditar y limitar la persistencia de backdoors conocidos como MatchWok mediante listas de procesos y firmas de detección actualizadas.
  • Desplegar sensores de red que identifiquen tráfico hacia redes descentralizadas como Yggdrasil, especialmente en entornos que no lo utilizan legítimamente.
  • Establecer planes de respuesta a incidentes que incluyan restauración a partir de copias de seguridad offline, garantizando que las copias no estén accesibles desde la red comprometida.
  • Compartir indicadores de compromiso (IOCs) con comunidades de inteligencia regionales para acelerar la detección de MythicRatatoskr y actividades relacionadas.
Fuente: The Record