🔍 Contexte

Publié le 22 octobre 2026 par ESET Research (Anton Cherepanov et Peter Strýček), cet article analyse une intrusion en deux phases contre une entreprise ukrainienne de logistique céréalière, impliquant une collaboration entre deux groupes alignés sur la Russie : UAC-0099 et Sandworm.

📅 Chronologie de l’intrusion

  • 16 juillet 2025 (06:59) : UAC-0099 obtient un accès initial via un email de spearphishing avec pièce jointe malveillante. Une tâche planifiée nommée pdfopentask exécute un payload PowerShell depuis %temp%\temporarydoc.txt.
  • 16 juillet 2025 (07:00) : Déploiement de MATCHBOIL (downloader), qui télécharge MATCHWOK (backdoor, C&C : https://uztickets.com) depuis https://egyptanimals.com/animals/photoalbum.
  • 17 juillet 2025 (09:28) : Déploiement de MythicRatatoskr sur la machine compromise, puis propagation latérale via un serveur OpenSSH SFTP.
  • Période intermédiaire : Déploiement d’un serveur SOCKS5 via MythicRatatoskr (extrait d’une archive WinRAR).
  • 17 septembre 2025 : Sandworm exécute une attaque de data-wiping via l’utilitaire SDelete déployé par Active Directory Group Policy.

🦠 MythicRatatoskr – Analyse technique

  • Langage : Go
  • Développement estimé : entre décembre 2024 et février 2025
  • Particularité : utilise le réseau mesh décentralisé Yggdrasil pour joindre son serveur C&C, rendant la détection réseau difficile
  • Communication : HTTPS sur port 443 vers un nœud Yggdrasil, via des requêtes HTTP POST JSON avec 4 types de messages : checkin, tasking, result, getfile
  • Persistance : service Windows nommé ieupdate
  • Délai de démarrage : certains échantillons incluent un délai de 10 minutes pour éviter la détection
  • Fonctions clés : CheckInAgent, agent_run, init_agent, saveConfig, getTasks, doTask, upload, download, screencat, shell, manageProxy
  • Basé sur : le projet open source yggstack (pas besoin de privilèges pour créer une interface tunnel)
  • Variante Linux : des indices suggèrent l’existence d’une variante Linux

🏗️ Infrastructure réseau

  • Le C&C est hébergé à l’intérieur du réseau Yggdrasil (IPv6 décentralisé, chiffrement E2E via clés Ed25519, plage 200::/7)
  • MythicRatatoskr embarque une liste encodée en base64 de pairs publics Yggdrasil et en sélectionne 3 aléatoirement pour rejoindre le réseau
  • Yggdrasil n’est pas conçu pour l’anonymat mais offre résilience et difficulté de perturbation

🎯 Attribution

  • UAC-0099 : groupe de cyberespionnage actif depuis 2022, ciblant organisations gouvernementales, institutions financières et médias ukrainiens ; aligné avec les intérêts russes (confiance moyenne) ; peut agir comme initial access broker pour Sandworm
  • Sandworm : attribué à l’Unité 74455 du GRU ; connu pour NotPetya (2017), Industroyer, Olympic Destroyer ; très actif en Ukraine depuis février 2022
  • La remise d’accès UAC-0099 → Sandworm s’inscrit dans un pattern de coopération entre groupes russes (ex : Gamaredon × Turla, Gamaredon × InvisiMole)

📄 Type d’article

Analyse technique et rapport d’incident détaillé publié par ESET Research, visant à documenter un nouveau backdoor, son infrastructure C&C innovante et la collaboration inter-groupes entre acteurs alignés sur la Russie.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1566.001 — Phishing: Spearphishing Attachment (Initial Access)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1053.005 — Scheduled Task/Job: Scheduled Task (Execution)
  • T1543.003 — Create or Modify System Process: Windows Service (Persistence)
  • T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys (Persistence)
  • T1021.004 — Remote Services: SSH (Lateral Movement)
  • T1570 — Lateral Tool Transfer (Lateral Movement)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1573.002 — Encrypted Channel: Asymmetric Cryptography (Command and Control)
  • T1090.001 — Proxy: Internal Proxy (Command and Control)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1113 — Screen Capture (Collection)
  • T1485 — Data Destruction (Impact)
  • T1484.001 — Domain Policy Modification: Group Policy Modification (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)

IOC

  • Domaines : uztickets.com — VT · URLhaus · ThreatFox
  • Domaines : egyptanimals.com — VT · URLhaus · ThreatFox
  • URLs : https://uztickets.com — URLhaus
  • URLs : https://egyptanimals.com/animals/photoalbum — URLhaus
  • Fichiers : updater.exe
  • Fichiers : krbtman.exe
  • Fichiers : windowsdefendersvc.exe
  • Fichiers : OneDriveLiveUpdater.exe
  • Fichiers : applicationasphost.exe
  • Fichiers : Act64.exe
  • Fichiers : WindowsDefenderSvc.exe
  • Fichiers : ieupdate.exe
  • Fichiers : ie.exe
  • Fichiers : temporarydoc.txt
  • Chemins : C:\windows\system32\updater.exe
  • Chemins : C:\Windows\system32\krbtman.exe
  • Chemins : C:\windows\system32\windowsdefendersvc.exe
  • Chemins : %localappdata%\Microsoft\OneDrive\OneDriveLiveUpdater.exe
  • Chemins : c:\program files (x86)\microsoft.net\adomd.net\110\applicationasphost.exe
  • Chemins : C:\OFFICE2010\Utilities\Act64.exe
  • Chemins : %userprofile%\Downloads\WindowsDefenderSvc.exe
  • Chemins : %userprofile%\Downloads\ieupdate.exe
  • Chemins : %userprofile%\Downloads\ie.exe
  • Chemins : %userprofile%\AppData\Local\Internet Explorer\ieupdate.exe
  • Chemins : %userprofile%\AppData\Local\ieupdate.exe
  • Chemins : C:\Windows\Temp\.updatecache
  • Chemins : C:\Windows\system32\.updatecache
  • Chemins : %LocalAppData%/Temp/.crond
  • Chemins : %temp%\temporarydoc.txt

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • MythicRatatoskr (backdoor)
  • MATCHWOK (backdoor)
  • MATCHBOIL (loader)
  • LONEPAGE (loader)
  • SDelete (tool)
  • Industroyer (other)
  • Industroyer2 (other)
  • NotPetya (other)
  • Olympic Destroyer (other)

🟢 Indice de vérification factuelle : 77/100 (haute)

  • ✅ welivesecurity.com — source reconnue (liste interne) (20pts)
  • ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 29 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 2/4 IOCs confirmés (ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 15 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ✅ acteur(s) identifié(s) : UAC-0099, Sandworm, Gamaredon (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • uztickets.com (domain) → VT (11/92 détections)
  • egyptanimals.com (domain) → VT (15/92 détections)

🔗 Source originale : https://www.welivesecurity.com/en/eset-research/mythicratatoskr-yggdrasil-enabled-backdoor-deployed-uac0099-sandworm-collaboration/