LONDON (IT BOLTWISE) – Laut ESET haben mit Sandworm verknüpfte Akteure gemeinsam mit UAC-0099 eine zerstörerische Wiper-Attacke gegen ein ukrainisches Logistikunternehmen durchgeführt. Der Einstieg erfolgte über eine Spear-Phishing-E-Mail mit Malware-Anhang am 16. Juli 2025, danach folgte die Übergabe der Kontrolle. Auffällig ist die Backdoor MythicRatatoskr, die über das Peer-to-Peer-Overlay Yggdrasil mit einem C2-Server kommunizieren soll. Die finale Datenlöschung setzte Sandworm am 17. September 2025 per SDelete über Active-Directory-Group-Policy um.
Eine neue Variante koordinierter Cyberangriffe zeigt, wie schnell sich die Taktiken rückwärts in Richtung „Infrastruktur“ statt nur „Payload“ verschieben: Laut ESET soll die russisch verknüpfte Gruppe Sandworm zusammen mit UAC-0099 eine zerstörerische Wiping-Kampagne gegen ein ukrainisches Logistikunternehmen gefahren haben. Der Zeitraum ist dabei ungewöhnlich: UAC-0099 habe demnach am 16. Juli 2025 zunächst Zugriff aufgebaut und die Kontrolle anschließend an Sandworm übergeben. Erst am 17. September 2025 soll dann der eigentliche Datenzerstörungs-Teil erfolgt sein – also mehr als zwei Monate, nachdem der erste Fuß in die Tür gesetzt war. Für Verteidiger ist das vor allem deshalb relevant, weil sich in solchen Phasen häufig Zeit für weitere Erkundung, Persistenz und die Vorbereitung der Zerstörung findet.
Der technische Einstieg folgt einem klassischen Muster, das in der Praxis aber oft unterschätzt wird: Laut ESET begann die Aktion mit einer Spear-Phishing-E-Mail, deren Anhang Malware enthielt. Diese soll über einen Downloader namens MATCHBOIL die Backdoor MATCHWOK nachgeladen haben. Auffällig ist, dass ESET in dem späteren Verlauf einen weiteren Strang herausarbeitet, der die Angriffsoberfläche erheblich erweitert: UAC-0099 habe eine zuvor nicht dokumentierte Backdoor mit dem Namen MythicRatatoskr eingesetzt. Sie kommuniziere über einen Command-and-Control-Server, der innerhalb des Yggdrasil-Mesh-Netzwerks gehostet sein soll. Damit verlagert sich der Schwerpunkt vom reinen „Beaconing“ hin zu einer Kommunikation über ein Overlay-Netz, das herkömmliche Netzwerkdetektion erschweren kann, weil die Pfade nicht zwingend wie bei standardisierten C2-Strukturen aussehen.
MythicRatatoskr selbst beschreibt ESET als funktional relativ direkt, gleichzeitig aber modular genug, um während des Aufenthalts flexibel zu bleiben. Demnach sendet die Backdoor Metadaten des Opfers an den C2, fragt anschließend nach neuen Befehlen und übermittelt Befehlsausgaben, Screenshots sowie Dateiuploads/-downloads. Zusätzlich soll sie das aktuelle Arbeitsverzeichnis ändern, Verzeichnisinhalte auflisten, sogar die URL des C2-Servers anpassen können und Shell-Kommandos über „cmd.exe“ ausführen. Technisch besonders interessant ist zudem, dass sie offenbar einen Reverse-SOCKS5-Proxy starten kann, um den weiteren Traffic des Angreifers umzuleiten oder Tools aus der späteren Phase „durch“ das kompromittierte Setup zu betreiben. Auch ein Detail, das auf den ersten Blick klein wirkt, sticht heraus: Einige Artefakte sollen eine 10-minütige Startverzögerung einbauen, vermutlich um nicht sofort eine Verbindung zum Yggdrasil-Netzwerk aufzubauen und so der schnellen Erkennung zu entgehen.
Für den sichtbaren Endschritt der Zerstörung nennt ESET dann wieder eine starke Verbindung zur „klassischen“ Enterprise-Umsetzung: Sandworm soll die Datenlöschung über die SDelete-Utility durchgeführt haben, und zwar mittels Active-Directory-Group-Policy. Genau an dieser Stelle wird die Kampagne für Organisationen besonders gefährlich, weil Group Policy eine zentrale Steuerung ermöglicht: Einmal sauber ausgerollt, kann der Wiper-Impuls viele Systeme gleichzeitig erreichen, ohne dass auf jedem Host erneut mühsam eine Bedienoberfläche oder manuelle Schritte nötig wären. ESET weist außerdem darauf hin, dass NikoWiper, das mit Sandworm verknüpft sei, ebenfalls von SDelete abgeleitet sein soll. Das Muster deutet darauf hin, dass Sandworm nicht nur Payloads „neu erfindet“, sondern bewährte Zerstörungslogik wiederverwendet und sie in unterschiedliche Initialzugriffs- und Verteilungsszenarien einbettet.
Auch die Einordnung in einen größeren Kooperationsrahmen fällt klar aus: Laut ESET sei UAC-0099 bereits in einem APT Activity Report (Q2 2025 bis Q3 2025) als Akteur beschrieben worden, der nach dem Aufbau des Zugangs Ziele vorbereitet und anschließend „validated targets“ an Sandworm übergibt, damit diese in einer weiteren Post-Exploitation-Phase ausgenutzt werden. Betroffen gewesen seien dabei unter anderem Regierungs-, Energie-, Logistik- und Getreidesektoren in der Ukraine. Solche Arbeitsteilung ist im Zeitalter spezialisierter Gruppen nicht ungewöhnlich, aber die Kombination aus Zugriffskette, Overlay-basierter C2-Kommunikation und enterprise-weitem Wiper-Mechanismus ist ein harter Realitätscheck für Security-Teams: Sie müssen sowohl frühe Eingangsvektoren als auch die nachgelagerte „Verteillogik“ unter Last prüfen. Dass Zusammenarbeit zwischen Russland-aligned Gruppen ebenfalls Thema ist, stützt ESET mit weiteren Beispielen, etwa einer Verknüpfung zwischen Gamaredon und Turla sowie dem Einsatz bestimmter Downloader, die modularen Spionagecode nachladen sollen.
Schließlich liefern die Querverweise auf potenziell weitere Plattformen eine zusätzliche Angriffsoption: Auch wenn ESET den untersuchten Fall auf einem Windows-System beobachtet habe, verweisen Code-Schnipsel in MythicRatatoskr angeblich auf „crond“. Daraus zieht ESET die Möglichkeit, dass es eine entsprechende Linux-Variante des Schadcodes geben könnte. Für Unternehmen heißt das: Detektions- und Response-Strategien dürfen sich nicht auf eine Betriebssystemlandschaft oder auf einen einzigen „C2-Stil“ festnageln lassen. Wer im Netzwerk nur bekannte Domain- oder Standard-HTTP-Muster überwacht, übersieht möglicherweise Overlay-gestützte Kommunikationswege; und wer Wiper-Abläufe ausschließlich als seltene „Payloads“ betrachtet, unterschätzt die Hebelwirkung von Active-Directory-Mechanismen wie Group Policy.
Aus Sicht von Risiko- und Betriebsverantwortlichen ist die zentrale Lehre damit weniger „neue Malware“ als „neues Zusammenspiel“. Laut ESET deutet der dokumentierte Missbrauch von Yggdrasil darauf hin, dass Angreifer experimentelle Peer-to-Peer-Netzwerke nutzen, um Infrastruktur resilienter und schwerer zu verfolgen zu machen. Wenn Overlay-C2 und Reverse-Proxies in der Post-Exploitation-Phase stärker standardisiert werden, wird auch die Forensik komplexer: Pfade, Timing und Kommunikationssicht unterscheiden sich von etablierten Client-Server-Modellen. Für die nächsten Monate lohnt es sich daher, Threat-Modeling enger an die tatsächliche Unternehmensarchitektur zu koppeln – inklusive Identitäts- und Policy-Ebenen – und nicht nur an klassische Endpoint-Indikatoren.
Für die praktische Umsetzung bedeutet das: Security-Teams sollten innerhalb der Windows-Umgebung insbesondere die Ausspielung von Group-Policy-Änderungen, ungewöhnliche SDelete-Nutzungen und Aktivitäten rund um AD-GPO-Objekte genauer überwachen. Parallel dazu ist es sinnvoll, Yggdrasil-ähnliche Overlay-Kommunikation als möglichen Pfad in die Erkennung aufzunehmen, selbst wenn die Organisation bisher keine vergleichbaren Ereignisse gesehen hat. So lässt sich die Zeitspanne zwischen erstem Zugriff und finaler Zerstörung verkürzen – und genau diese Lücke war laut ESET bei dieser Kampagne mehr als zwei Monate lang offen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Sandworm & UAC-0099: neue Backdoor für Wiper-Attacken über Yggdrasil" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Sandworm & UAC-0099: neue Backdoor für Wiper-Attacken über Yggdrasil" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Sandworm & UAC-0099: neue Backdoor für Wiper-Attacken über Yggdrasil« bei Google Deutschland suchen, bei Bing oder Google News!