Eset entdeckt neue Hintertür, die bei verheerendem Angriff eingesetzt wurde

Überblick: Was ist passiert

ESET hat einen komplexen Angriff dokumentiert, bei dem die Hintertür MythicRatatoskr erstmals eingesetzt wurde, um einen ukrainischen Getreidelogistiker zu kompromittieren. Angreifer nutzten eine Kettenoperation: erste Zugänge durch die Gruppe UAC-0099, Übergabe an die berüchtigte Sandworm-Gruppe und schließlich zerstörerische Datenlöschung. Die Infrastruktur verbarg sich hinter einem dezentralen Mesh-Netzwerk namens Yggdrasil, das über IPv6 verschlüsselte Pfade bereitstellt.

Wie die Erstkompromittierung ablief

Angreifer sendet am 16. Juli 2025 eine zielgerichtete Spear-Phishing-Mail mit einem Schadanhang. Die Mail löst eine Ausführungs-Kette aus, die zunächst den Downloader MATCHBOIL und anschließend den Backdoor MATCHWOK installierte. ESET-Tele zeigt, dass diese Phase typischer TTPs von UAC-0099 aufwies: maßgeschneiderte E-Mail-Inhalte, zeitliche Abstimmung auf Geschäftsprozesse des Opfers und Verwendung bestehender Admin-Konten zur Persistenz. Angreifer nutzen solche Netze, weil sie

Vorteile für Angreifer: verschleierte Infrastruktur, weniger Abhängigkeit von zentralen C2-Hosts, höhere Resilienz gegenüber Take-downs und native IPv6-Routingpfade, die klassische IPv4-basierte

Hauptfunktionen: Kommandos ausführen, Dateisystem handgefertigt, Dateien hoch-/herunterladen, Screenshots erstellen, Proxy-Funktionen (vermutlich SOCKS5) und verschlüsselte C2-Kommunikation über das Yggdrasil-Netz. ESET findet außerdem Indizien für eine Linux-Variante, was Mehrplattform-Einsatz nahelegt.

Schritt-für-Schritt: Wie die Angreifer MythicRatatoskr einsetzt

1) Initialer Zugriff: Spear-Phishing + MATCHBOIL-Downloader.

2) Persistenz & Post-Exploitation: MATCHWOK als persistente Backdoor.

3) C2-Bereitstellung: Aufbau eines C2 innerhalb des Yggdrasil-Mesh.

4) Deployment: Aktivierung von MythicRatatoskr, Etablierung von SOCKS5-Weiterleitungen, laterale Bewegung.

5) Escalation: Übergabe an Sandworm und Vorbereitung destruktiver Aktionen.

6) Zerstörung: gezelte Datenlöschung und Sabotage der Betriebsabläufe.

Warum ESET UAC-0099 und Sandworm zuordnet

ESET verwendet die Attribution auf Kombinationen von Indikatoren: wiederkehrende TTPs, verwendete Malwarefamilien (MATCHBOIL, MATCHWOK), Zeitlinien der Aktivitäten sowie historische Kooperationsmuster zwischen prorussischen Gruppen. Sandwurm weist typische destruktive Muster auf; UAC-0099 erscheint als Erschließer der Erstzugänge, was einer arbeitsteiligen Vorgehensweise entspricht, die in offiziellen Berichten beobachtet wurde.

Konkrete Beweise und Beobachtungen

– Telemetrie zeigt zeitlich verknüpfte Nutzung von MATCHWOK und MythicRatatoskr.

– C2-Kommunikation fand über Yggdrasil-Kanäle statt, was spezielle Netzwerk-Telemetrie erforderlich macht.

– Spuren deuten auf einen SOCKS5-Proxy als Tunnelinstanz hin; dieser kann Datenverkehr der kompromittierten Netzwerke weiterleiten und weitere Angriffe verschleiern.

– Zwei Monate nach Erstkompromittierung folgte die Datenlöschung, zeitlich und technisch konsistent mit Sandworm-Aktivität.

Präventive und detektive Maßnahmen (praktisch, schrittweise)

1) E-Mail-Sicherheit: Erzwinge Attachment-Sandboxing und blockiere Makros/JS in externen Mails; verfolge abnormale Mail-Patterns mit DLP-Regeln.

2) Endpunkt-Härte: Implementiere EDR-Regeln, die verdächtige Prozesse von Downloadern (MATCHBOIL-Typen) und Persistenzmechanismen (MATCHWOK-Ähnliches) signieren und isolieren.
3) Netzwerk-Telemetrie: Überwache IPv6-Verbindungen und ungewöhnliche Peer-to-Peer-Verkehrsmuster; Instrumente Egress-Filter für unbekannte IPv6-Adressen; Analysiere SOCKS5-Proxysignaturen.
4) Threat-Hunting: Such nach Suchtakten wie plötzliche Inline-Proxy-Prozesse, ungewöhnliche Befehlsaufrufe und Screenshots-Erstellungs-APIs.
5) Backup & Wiederherstellung: Verwende immutable Backups, multipliziere Backups außerhalb erreichbarer Netzwerkbereiche und teste Wiederherstellungen regelmäßig.

6) Incident-Response: Bereite Playbooks vor, die Trennung vom Mesh, Schleusen von Systemspeicherung und forensische Extraktion priorisieren.

Was Verteidiger aus diesem Fall lernen sollten

Angreifer modularisieren zunehmend Angriffsabläufe: Spezielle Erstzugangsgruppen können kompromittierte Zugangsdaten an Zerstörer übergeben. Netzwerke mit experimentellen Routing-Techniken wie Yggdrasil schaffen neue Hürden für die Überwachung. Daher müssen Sicherheitsverfahren IPv6-first gezen, Mesh-ähnlichen Verkehr berücksichtigen und die Trennung von Zugangserlangung und Zerstörungsoperationen in Playbooks einbauen.

Fallbeispiele: Identifizierbare IOCs und Verhaltensindikatoren

– Erstellte Prozesse mit Namen/Signaturen, die MATCHWOK/MATCHBOIL ähneln.

– Verbindungen zu ungewöhnlichen IPv6-Endpunkten innerhalb von Mesh-Adressbereiche.

– Plötzliche Aktivität eines SOCKS5-Daemons auf ungewöhnlichen Hosts.

– Anomale Datei-Änderungsmuster vor Datenlöschung (staged Encryption/erasures).

– Screenshots-Upload-Traffic kurz vor lateralem Zugriff.

Konsequenzen für die Getreide- und Logistikbranche

Logistiknetzwerke weisen enge Abhängigkeiten zu SCADA, Transportmanagement und Drittanbietersystemen auf. Ein erfolgreicher Angriff kann Lieferketten unterbrechen, Vertragsstrafen auslösen und physische Lagerprozesse stören. Betreiber sollten kritische Segmente isolieren, strikte Zugangskontrolle implementieren und Kommunikationspfade zu externen Partnern hart einschränken.

Zusammenfassung der wichtigsten Punkte

MythicRatatoskr operiert als flexibler Backdoor-Agent, der über ein verschleiertes Yggdrasil-Mesh kommuniziert. UAC-0099 stellt erste Zugänge bereit; Sandworm nutzt diese Zugänge später für destruktive Operationen. Verteidiger sollten IPv6/Mesh-Telemetrie erhöhen, E-Mail- und Endpunktkontrollen stärken und robuste Backup-Strategien ausrollen, um ähnliche Angriffe zu verhindern oder rasch wiederherzustellen.

ESET entdeckt neue Hintertür, die in einem verheerenden Angriff eingesetzt wurde – Details zu Funktionsweise, Auswirkungen und Schutzmaßnahmen.