Yggdrasil

🔍 Contexte Publié le 22 octobre 2026 par ESET Research (Anton Cherepanov et Peter Strýček), cet article analyse une intrusion en deux phases contre une entreprise ukrainienne de logistique céréalière, impliquant une collaboration entre deux groupes alignés sur la Russie : UAC-0099 et Sandworm. 📅 Chronologie de l’intrusion 16 juillet 2025 (06:59) : UAC-0099 obtient un accès initial via un email de spearphishing avec pièce jointe malveillante. Une tâche planifiée nommée pdfopentask exécute un payload PowerShell depuis %temp%\temporarydoc.txt. 16 juillet 2025 (07:00) : Déploiement de MATCHBOIL (downloader), qui télécharge MATCHWOK (backdoor, C&C : https://uztickets.com) depuis https://egyptanimals.com/animals/photoalbum. 17 juillet 2025 (09:28) : Déploiement de MythicRatatoskr sur la machine compromise, puis propagation latérale via un serveur OpenSSH SFTP. Période intermédiaire : Déploiement d’un serveur SOCKS5 via MythicRatatoskr (extrait d’une archive WinRAR). 17 septembre 2025 : Sandworm exécute une attaque de data-wiping via l’utilitaire SDelete déployé par Active Directory Group Policy. 🦠 MythicRatatoskr – Analyse technique Langage : Go Développement estimé : entre décembre 2024 et février 2025 Particularité : utilise le réseau mesh décentralisé Yggdrasil pour joindre son serveur C&C, rendant la détection réseau difficile Communication : HTTPS sur port 443 vers un nœud Yggdrasil, via des requêtes HTTP POST JSON avec 4 types de messages : checkin, tasking, result, getfile Persistance : service Windows nommé ieupdate Délai de démarrage : certains échantillons incluent un délai de 10 minutes pour éviter la détection Fonctions clés : CheckInAgent, agent_run, init_agent, saveConfig, getTasks, doTask, upload, download, screencat, shell, manageProxy Basé sur : le projet open source yggstack (pas besoin de privilèges pour créer une interface tunnel) Variante Linux : des indices suggèrent l’existence d’une variante Linux 🏗️ Infrastructure réseau Le C&C est hébergé à l’intérieur du réseau Yggdrasil (IPv6 décentralisé, chiffrement E2E via clés Ed25519, plage 200::/7) MythicRatatoskr embarque une liste encodée en base64 de pairs publics Yggdrasil et en sélectionne 3 aléatoirement pour rejoindre le réseau Yggdrasil n’est pas conçu pour l’anonymat mais offre résilience et difficulté de perturbation 🎯 Attribution UAC-0099 : groupe de cyberespionnage actif depuis 2022, ciblant organisations gouvernementales, institutions financières et médias ukrainiens ; aligné avec les intérêts russes (confiance moyenne) ; peut agir comme initial access broker pour Sandworm Sandworm : attribué à l’Unité 74455 du GRU ; connu pour NotPetya (2017), Industroyer, Olympic Destroyer ; très actif en Ukraine depuis février 2022 La remise d’accès UAC-0099 → Sandworm s’inscrit dans un pattern de coopération entre groupes russes (ex : Gamaredon × Turla, Gamaredon × InvisiMole) 📄 Type d’article Analyse technique et rapport d’incident détaillé publié par ESET Research, visant à documenter un nouveau backdoor, son infrastructure C&C innovante et la collaboration inter-groupes entre acteurs alignés sur la Russie. ...