El 22 de octubre, la empresa de ciberseguridad ESET informó que grupos de ciberdelincuencia vinculados a Rusia utilizaron la red descentralizada Yggdrasil para ocultar sus comunicaciones durante una operación contra una empresa ucraniana de logística cerealera. La intrusión inicial se produjo en julio de 2025 y culminó el 17 de septiembre de ese año con la eliminación de datos de los sistemas informáticos afectados. La empresa víctima no fue identificada.
Grupos vinculados a Rusia emplearon Yggdrasil para ocultar comunicaciones durante un ciberataque en Ucrania
Según ESET, el acceso inicial se produjo el 16 de julio de 2025 mediante un correo electrónico de phishing con un archivo adjunto malicioso, en el marco de una campaña dirigida contra empresas de logística, compañías cerealistas y terminales portuarias de Ucrania. Los atacantes instalaron programas que permitían ejecutar comandos de forma remota, recorrer archivos, capturar pantallas y extraer documentos. La actividad se desarrolló mediante un programa de acceso remoto denominado MythicRatatoskr, cuya comunicación con el servidor de comando y control se realizaba a través de Yggdrasil, una red experimental de tipo mesh que no depende de una infraestructura centralizada.
ESET atribuyó el acceso inicial al grupo UAC-0099, vinculado con Rusia, y evaluó que este habría transferido el acceso a Sandworm, grupo asociado con la inteligencia militar rusa. La destrucción de los datos fue atribuida a Sandworm sobre la base de las técnicas, tácticas y procedimientos identificados durante la operación. Para eliminar la información, los atacantes utilizaron SDelete, una herramienta legítima de Microsoft diseñada para borrar archivos de forma permanente, después de obtener privilegios de administrador. ESET señaló que no pudo determinar qué grupo operó la puerta trasera durante el período intermedio entre la intrusión y la eliminación de datos.
El investigador de ESET Anton Cherepanov indicó que el empleo de una red descentralizada dificulta la detección de las comunicaciones maliciosas. Por su parte, un portavoz de Microsoft señaló que SDelete es una herramienta administrativa de uso legítimo que puede ser utilizada con fines maliciosos cuando un atacante ya obtuvo acceso a una red. ESET informó que no pudo confirmar si el incidente interrumpió las operaciones de la empresa afectada ni determinar la función específica de los sistemas comprometidos.