Investigadores de la firma de ciberseguridad ESET publicaron el 22 de octubre de 2026 un informe sobre una operación informática que aprovechó la red descentralizada Yggdrasil para ocultar las comunicaciones de un programa malicioso destinado a una empresa ucraniana de logística de cereales.
Según el documento, el incidente comenzó el 16 de julio de 2025 con un spear phishing —un correo dirigido a la víctima con un adjunto malicioso— que permitió a los atacantes obtener acceso inicial al entorno de la compañía. Tras comprometer el equipo, los intrusos desplegaron herramientas para mantener persistencia y, al día siguiente, instalaron una puerta trasera hasta entonces desconocida denominada MythicRatatoskr.
ESET describe que MythicRatatoskr podía ejecutar comandos remotos, explorar ficheros, transferir información y capturar pantallas. Además, facilitaba conexiones laterales dentro de la red comprometida. El informe atribuye el acceso inicial a un actor identificado como UAC-0099, y sitúa la acción destructiva posterior en manos del grupo Sandworm, que el 17 de septiembre de 2025 habría ejecutado una operación para borrar información de los sistemas afectados.
La particularidad técnica que destaca ESET es el uso de Yggdrasil como infraestructura para alojar el servidor de mando y control (C2) del malware. Yggdrasil es una red mesh descentralizada que establece comunicaciones IPv6 cifradas de extremo a extremo entre nodos, lo que, según ESET, dificultó la identificación y el bloqueo de las comunicaciones maliciosas al no depender de servidores centrales convencionales.
El informe detalla la secuencia de la intrusión, las capacidades observadas en la puerta trasera y la transición del acceso inicial a una operación destructiva atribuida a Sandworm. También incluye indicadores técnicos y análisis del funcionamiento de la red Yggdrasil en el contexto del ataque.
| Elemento | Dato |
|---|---|
| Acceso inicial | 16 de julio de 2025 (spear phishing) |
| Instalación de MythicRatatoskr | 17 de julio de 2025 |
| Acción destructiva | 17 de septiembre de 2025 (borrado de datos) |
| Informe | ESET, 22 de octubre de 2026 |
El análisis de ESET subraya cómo arquitecturas descentralizadas y cifradas, que aportan ventajas legítimas de privacidad y resiliencia, también pueden ser reutilizadas por operadores maliciosos para complicar las labores de detección y respuesta. El informe aporta indicadores técnicos y trazas del ataque que las organizaciones y equipos de respuesta pueden usar para comprobar si han sido afectados.
En la práctica
- Fechas clave: acceso inicial documentado el 16 de julio de 2025; borrado de datos atribuido a Sandworm el 17 de septiembre de 2025; informe publicado por ESET el 22 de octubre de 2026.
- Herramientas y actores identificados: puerta trasera MythicRatatoskr, actor inicial UAC-0099 y posterior atribución a Sandworm.
- Técnica de ocultación: servidor de mando y control alojado dentro de la red descentralizada Yggdrasil, que utiliza comunicaciones IPv6 cifradas entre nodos.
