ESET heeft onderzocht hoe met Rusland gelinkte actoren een destructieve aanval uitvoerden tegen een Oekraïense logistieke organisatie. Opvallend in de verslaggeving is de inzet van een mesh-netwerk backdoor die communiceert met een command-and-control (C2) server binnen het Yggdrasil mesh netwerk. Daarmee wordt de infrastructuur lastiger te blokkeren en kan de aanvaller langer aanwezig blijven.
De aanval liep uiteindelijk uit op dataverwijdering (wiping). Hieronder lees je wat er volgens ESET gebeurde, welke rol de backdoor speelde en welke lessen organisaties hieruit kunnen trekken.
Van spearphishing naar toegang op 16 juli 2025
Volgens ESET startte het traject op 16 juli 2025. Een actor met de aanduiding UAC-0099 (ook bekend als Earth Sirrush) verkreeg aanvankelijk toegang via een spearphishing e-mail. In die mail zat een bijlage met malware die leidde tot de plaatsing van een backdoor via een downloader.
De technische keten begon met een component die door ESET wordt beschreven als MATCHWOK, waarbij een downloader genaamd MATCHBOIL de vervolgstap mogelijk maakte. Het doel was niet direct vernietiging, maar het opbouwen van positie binnen het netwerk.
Smithing van functies: MATCHWOK en daarna MythicRatatoskr
Wat de zaak extra interessant maakt, is het tijdsverloop en de rolverdeling in de toolkit. ESET beschrijft dat MythicRatatoskr werd ingezet een dag nadat MATCHWOK werd uitgevoerd. De backdoor is volgens ESET eerder nog niet gedocumenteerd en kreeg communicatiekanalen binnen het Yggdrasil mesh netwerk.
De backdoor lijkt te zijn ontwikkeld in een periode die ligt tussen december 2024 en februari 2025. In die periode is de functionaliteit dus voorbereid, terwijl de uiteindelijke aanval pas later werd uitgevoerd.
Hoe de mesh-netwerk backdoor werkt volgens ESET
ESET geeft aan dat de functionaliteit van MythicRatatoskr relatief “rechttoe rechtaan” is, maar wel bruikbaar voor controle en uitvoering op afstand. De backdoor verzamelt slachtoffermetadata en verstuurt die naar de C2. Vervolgens wacht hij op nieuwe opdrachten, geeft opdrachtuitvoer terug en kan daarnaast schermafbeeldingen maken.
Ook bestandsfunctionaliteit en systeemmanipulatie horen erbij:
- bestanden uploaden en downloaden naar en van het apparaat
- de huidige werkmap aanpassen
- mappeninhoud opsommen
- de C2-URL aanpassen
- commando’s uitvoeren via cmd.exe
- een reverse SOCKS5-proxy opzetten
Daarnaast wijzen ESET-onderzoekers op een artefact met een opstartvertraging van 10 minuten. Dat past bij pogingen om niet meteen verbinding te maken met het mesh-netwerk en daarmee detectie te ontwijken.
Yggdrasil misbruikt: C2 in een peer-to-peer laag
ESET stelt dat het in hun kennis de eerste gedocumenteerde casus is waarin een state-aligned dreigingsacteur het Yggdrasil mesh netwerk op deze manier misbruikt. De onderzoekers geven ook aan dat dit kan wijzen op een bredere trend: aanvallers die experimenteren met peer-to-peer netwerken om hun infrastructuur veerkrachtiger en minder zichtbaar te maken.
In de analyse wordt tevens genoemd dat MythicRatatoskr kan worden gebruikt om een SOCKS5 server te plaatsen, zodat verbindingen via het gecompromitteerde netwerk kunnen worden gerouteerd.
Van overname tot wiping op 17 september 2025
Na de fase waarin UAC-0099 aanvankelijk toegang regelde, kwam er een duidelijke vervolgstap. ESET beschrijft dat er uiteindelijk sprake was van een overdracht van toegang aan Sandworm, waarna Sandworm de destructieve fase uitvoerde.
Die culminatie vond plaats op 17 september 2025, meer dan twee maanden nadat de initial access was verkregen. Dat tijdsverloop suggereert dat de actoren de compromisfase bewust lang lieten doorlopen.
Voor de wiping-aanval beschrijft ESET dat Sandworm SDelete liet vallen via Active Directory Group Policy. Dit is relevant omdat het gebruik van centrale beleidsmechanismen het gemakkelijker maakt om een payload op meerdere doelen of systemen te activeren.
Het is daarbij ook opgemerkt dat de door Sandworm gelinkte malware NikoWiper is afgeleid van SDelete.
Windows eerst, maar aanwijzingen richting Linux
In de onderzochte campagne is een Windows-systeem gecompromitteerd. Tegelijkertijd wijzen codeverwijzingen in MythicRatatoskr op de term “crond”, wat een aanwijzing kan zijn voor een equivalente Linux-versie.
Daarmee lijkt de backdoor niet per se platformgebonden. Voor organisaties betekent dit: verwacht niet dat “we hebben Windows onder controle” automatisch ook andere omgevingen afdekt.
Wat zegt ESET over samenwerking tussen actoren?
ESET benadrukt dat de samenwerking tussen UAC-0099 en Sandworm niet nieuw is binnen hun observaties. In een eerder APT-rapport (Q2 2025–Q3 2025) beschreef ESET dat UAC-0099 initial access uitvoerde en daarna “validated targets” doorgaf aan Sandworm voor verdere post-exploitation.
Deze vorm van samenwerking zien we volgens ESET breder binnen de Rusland-gerichte dreigingswereld. ESET rapporteerde eerder ook combinaties van actoren die elkaars toegang of tooling benutten om Oekraïense doelwitten gezamenlijk te compromitteren. De logica daarachter: gecoördineerde spionagecampagnes die de impact vergroten.
Lessen voor defenders: maak wiping moeilijker
Hoewel de campagne specifiek is, zijn de verdedigingslessen generiek. Begin bij de basis: beperk impact wanneer initial access eenmaal is gebeurd. Let extra op signalen rond spearphishing, het plaatsen van downloaders/backdoors en laterale beweging richting AD-gerelateerde instellingen.
Concreet kun je denken aan:
- Beperk e-mailbijlagen en voer een streng beleid voor macro’s en executables uit.
- Monitor verdachte bewerkingen die passen bij het opzetten van proxies, C2-communicatie en screenshotfunctionaliteit.
- Controleer Group Policy-wijzigingen, zeker in periodes waarin accounts of diensten afwijkend gedrag vertonen.
- Segmentatie en least privilege zodat één compromis niet meteen het hele AD-domein kan raken.
Als je ook kijkt naar eerdere incidenten rond payloads en RCE-risico’s, kan aanvullend lezen nuttig zijn. Zie bijvoorbeeld dit artikel over RCE-alerts rond PHP sessie upload progress, omdat het laat zien hoe snel een compromis kan escaleren zodra uitvoerbaarheid mogelijk wordt.
Extra: focus op snelle patching en harde detectie
De beschreven casus draait niet alleen om een specifieke backdoor, maar ook om de timing en de keten van acties. Door beveiligingsprocessen te versnellen—van patching tot detectie en incidentrespons—verkort je de tijd die een aanvaller nodig heeft om van toegang naar vernietiging te gaan.
Ook organisaties die zwaar investeren in monitoring doen er goed aan om hun playbooks te testen op scenario’s met dataverwijdering. Een praktische insteek: oefen op basis van groepsbeleid-activering, payloaddistributie en snelle isolatie van endpoints.
Voor context rond het misbruik van backdoor-achtige componenten en de impact daarvan op operationele beveiliging kun je daarnaast deze achtergrondcheck meenemen: AI-leaks, credentialdiefstal en updates—niet identiek aan deze campagne, maar wel relevant voor het bredere dreigingsbeeld rond toegang en controle.
Conclusie
De campagne die ESET beschrijft laat zien hoe een mesh-netwerk backdoor (MythicRatatoskr) kan worden ingezet om C2-communicatie te verankeren in een peer-to-peer omgeving. In combinatie met spearphishing, downloaders en uiteindelijk wiping via SDelete en Active Directory Group Policy ontstaat een aanval die zowel technisch innovatief als operationeel doordacht is.
Voor organisaties is de kernboodschap helder: zorg dat je vroeg detecteert, privileges beperkt en vooral dat je maatregelen neemt tegen de destructieve fase. Daarmee verklein je de kans dat een compromis eindigt in massale dataverwijdering.
Bron: https://thehackernews.com/2026/10/russian-linked-hackers-used-new-mesh.html
