Por Canuto  

ESET reportó que hackers vinculados a Rusia ocultaron comunicaciones de malware en Yggdrasil durante un ataque contra una empresa ucraniana de grano que terminó con el borrado de datos. La investigación distingue la intrusión inicial de la operación destructiva atribuida con alta confianza a Sandworm.
***

  • La intrusión comenzó con un correo de phishing el 16 de julio de 2025 y ESET la atribuyó inicialmente a UAC-0099.
  • El malware MythicRatatoskr se comunicó con sus operadores mediante Yggdrasil, una red descentralizada que, según ESET, no anonimiza a sus usuarios.
  • El 17 de septiembre, los atacantes usaron SDelete para borrar datos; ESET atribuyó con alta confianza esa fase destructiva a Sandworm.

ESET detecta malware ruso oculto en Yggdrasil durante un ataque a una empresa de grano ucraniana

Una intrusión que terminó con el borrado de datos

Una empresa ucraniana del sector del grano sufrió un ataque cibernético que combinó phishing, instalación de malware y eliminación de información de sus computadoras. ESET informó que los atacantes también usaron Yggdrasil, una red descentralizada, para encubrir la comunicación de un programa malicioso con sus operadores, en lo que la firma describió como el primer caso documentado de un actor de amenazas alineado con un Estado que abusa de esa red de esa manera.

La compañía de ciberseguridad no identificó a la empresa afectada, pero situó el inicio de la intrusión el 16 de julio de 2025. Ese día, los atacantes enviaron un correo de phishing diseñado para inducir a un empleado a abrir acceso a los sistemas de la organización, una vía de entrada que permitió desplegar las primeras piezas de malware.

ESET atribuyó la intrusión inicial a UAC-0099, un grupo que CERT-UA, el equipo ucraniano de respuesta a emergencias informáticas, identificó por primera vez en 2023. Los investigadores reportaron que los atacantes instalaron dos programas maliciosos y añadieron otro al día siguiente, una puerta trasera denominada MythicRatatoskr.

Según ESET, MythicRatatoskr permitía ejecutar comandos en las computadoras infectadas, robar archivos y tomar capturas de pantalla. La firma no pudo establecer qué grupo operó esa puerta trasera, por lo que la atribución de la primera etapa del ataque no resuelve quién controló cada herramienta ni quién ejecutó todas las acciones posteriores.

Yggdrasil como canal para el malware

La particularidad técnica del caso estuvo en la forma en que MythicRatatoskr se comunicaba con sus operadores. En vez de depender de un servidor central convencional, el malware utilizó Yggdrasil, una red cifrada que permite que los dispositivos se comuniquen directamente a través de internet.

La arquitectura descentralizada dificulta interrumpir la red mediante el cierre de un único servidor, porque no existe un operador central que controle toda la infraestructura. ESET advirtió, sin embargo, que Yggdrasil sigue siendo un proyecto experimental y que su diseño no vuelve anónimos a quienes lo usan: los dispositivos conectados todavía pueden ser rastreados.

Los investigadores describieron el hallazgo como el primer caso conocido de uso de Yggdrasil por un actor de amenazas alineado con un Estado para ocultar comunicaciones de malware de esta forma. La novedad, por tanto, no consiste en que la red sea intrínsecamente anónima, sino en que los atacantes la incorporaron a una operación real para transportar el tráfico entre el programa malicioso y sus operadores.

Anton Cherepanov, investigador de ESET, dijo a The Record que la compañía no había encontrado pruebas de que MythicRatatoskr se hubiera utilizado en otros ataques. Ese límite es relevante para dimensionar el hallazgo: la investigación documenta una operación contra una empresa de grano, pero no confirma que la misma puerta trasera haya tenido una campaña más amplia.

La fase destructiva y el contexto agrícola

El 17 de septiembre, alrededor de dos meses después del inicio del ataque, los intrusos borraron datos de las computadoras de la empresa. Para hacerlo emplearon SDelete, una herramienta legítima diseñada para eliminar archivos de forma permanente, y la distribuyeron mediante la propia configuración de red de la compañía.

ESET afirmó tener un alto nivel de confianza en que Sandworm llevó a cabo la parte destructiva de la operación. Gobiernos occidentales han vinculado a Sandworm con el GRU, la agencia de inteligencia militar rusa, mientras que ESET considera que UAC-0099 proporcionó el acceso que permitió esa fase; los investigadores no determinaron qué grupo manejó MythicRatatoskr.

La distinción entre acceso inicial y borrado ayuda a entender por qué la investigación no atribuye todo el ataque a una sola unidad con el mismo grado de certeza. ESET vincula a UAC-0099 con la entrada en los sistemas y cree que Sandworm ejecutó la acción destructiva, pero mantiene sin resolver la identidad del operador de la puerta trasera.

El sector agrícola ucraniano ha sido un objetivo frecuente de ataques rusos, según el contexto recogido en el informe. Antes de la invasión a gran escala, la agricultura representaba cerca de una quinta parte de la economía del país y casi la mitad de sus exportaciones, mientras que las fuerzas rusas también han atacado puertos e instalaciones de almacenamiento de grano.

ESET ya había vinculado a Sandworm con ataques de borrado de datos contra empresas agrícolas, energéticas y de transporte ucranianas a mediados de 2025. Ucrania, además, puede solicitar apoyo a la reserva cibernética de emergencia de la Unión Europea, un acuerdo establecido en junio que permite acceder a asistencia adicional de ciberseguridad durante ataques de gran escala.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados