MythicRatatoskr : backdoor Go via réseau Yggdrasil déployé par UAC-0099 et Sandworm

Tue, 27 Oct 2026 00:00:00 +0100

🔍 Contexte

Publié le 22 octobre 2026 par ESET Research (Anton Cherepanov et Peter Strýček), cet article analyse une intrusion en deux phases contre une entreprise ukrainienne de logistique céréalière, impliquant une collaboration entre deux groupes alignés sur la Russie : UAC-0099 et Sandworm.

📅 Chronologie de l’intrusion

16 juillet 2025 (06:59) : UAC-0099 obtient un accès initial via un email de spearphishing avec pièce jointe malveillante. Une tâche planifiée nommée pdfopentask exécute un payload PowerShell depuis %temp%\temporarydoc.txt.
16 juillet 2025 (07:00) : Déploiement de MATCHBOIL (downloader), qui télécharge MATCHWOK (backdoor, C&C : https://uztickets.com) depuis https://egyptanimals.com/animals/photoalbum.
17 juillet 2025 (09:28) : Déploiement de MythicRatatoskr sur la machine compromise, puis propagation latérale via un serveur OpenSSH SFTP.
Période intermédiaire : Déploiement d’un serveur SOCKS5 via MythicRatatoskr (extrait d’une archive WinRAR).
17 septembre 2025 : Sandworm exécute une attaque de data-wiping via l’utilitaire SDelete déployé par Active Directory Group Policy.

🦠 MythicRatatoskr – Analyse technique

Langage : Go
Développement estimé : entre décembre 2024 et février 2025
Particularité : utilise le réseau mesh décentralisé Yggdrasil pour joindre son serveur C&C, rendant la détection réseau difficile
Communication : HTTPS sur port 443 vers un nœud Yggdrasil, via des requêtes HTTP POST JSON avec 4 types de messages : checkin, tasking, result, getfile
Persistance : service Windows nommé ieupdate
Délai de démarrage : certains échantillons incluent un délai de 10 minutes pour éviter la détection
Fonctions clés : CheckInAgent, agent_run, init_agent, saveConfig, getTasks, doTask, upload, download, screencat, shell, manageProxy
Basé sur : le projet open source yggstack (pas besoin de privilèges pour créer une interface tunnel)
Variante Linux : des indices suggèrent l’existence d’une variante Linux

🏗️ Infrastructure réseau

Le C&C est hébergé à l’intérieur du réseau Yggdrasil (IPv6 décentralisé, chiffrement E2E via clés Ed25519, plage 200::/7)
MythicRatatoskr embarque une liste encodée en base64 de pairs publics Yggdrasil et en sélectionne 3 aléatoirement pour rejoindre le réseau
Yggdrasil n’est pas conçu pour l’anonymat mais offre résilience et difficulté de perturbation

🎯 Attribution

UAC-0099 : groupe de cyberespionnage actif depuis 2022, ciblant organisations gouvernementales, institutions financières et médias ukrainiens ; aligné avec les intérêts russes (confiance moyenne) ; peut agir comme initial access broker pour Sandworm
Sandworm : attribué à l’Unité 74455 du GRU ; connu pour NotPetya (2017), Industroyer, Olympic Destroyer ; très actif en Ukraine depuis février 2022
La remise d’accès UAC-0099 → Sandworm s’inscrit dans un pattern de coopération entre groupes russes (ex : Gamaredon × Turla, Gamaredon × InvisiMole)

📄 Type d’article

Analyse technique et rapport d’incident détaillé publié par ESET Research, visant à documenter un nouveau backdoor, son infrastructure C&C innovante et la collaboration inter-groupes entre acteurs alignés sur la Russie.