Nach dem Erstzugriff installierten die Angreifer zunächst eine Backdoor namens MatchWok, um dauerhaft im Netzwerk zu bleiben. Später kam ein bis dahin unbekanntes Werkzeug zum Einsatz, das ESET MythicRatatoskr nennt. Es erlaubt das Ausführen von Befehlen aus der Ferne, das Entwenden von Dateien und das Anfertigen von Bildschirmfotos.
„Wir haben die Backdoor MythicRatatoskr nirgendwo sonst gesehen, und wir haben Hinweise darauf gefunden, dass möglicherweise auch eine Linux-Variante existiert“, sagte ESET-Forscher Anton Cherepanov, der den Angriff untersucht hat. Welche der beiden Gruppen die neu entdeckte Backdoor überwiegend bedient hat, konnte ESET nicht feststellen.
Auffällig ist die Art, wie die Angreifer ihre Kommunikation mit den infizierten Rechnern verschleierten: Statt sich direkt mit einem herkömmlichen, von den Angreifern kontrollierten Server zu verbinden, kommunizierte die Schadsoftware über Yggdrasil – ein dezentrales Netzwerk, in dem Geräte verschlüsselte Daten ohne zentrale Vermittlungsstelle austauschen. „Nach unserem Kenntnisstand ist dies der erste dokumentierte Fall, in dem Yggdrasil auf diese Weise von einem staatsnahen Akteur missbraucht wurde“, erklärten die Forscher. Solche Netze könnten Angriffsinfrastruktur widerstandsfähiger und schwerer nachverfolgbar machen.
UAC-0099 ist mindestens seit 2022 aktiv und griff zuvor ukrainische Regierungsbehörden, Finanzinstitute, Medien sowie Unternehmen aus den Bereichen Verkehr, Fertigung und Energie an. Sandworm wird von westlichen Nachrichtendiensten dem russischen Militärgeheimdienst GRU zugerechnet und zählt zu den bekanntesten staatlich gestützten Gruppen Russlands. Sie wird mit den Cyberangriffen in Verbindung gebracht, die 2015 und 2016 Stromausfälle in der Ukraine verursachten, sowie mit einem Angriffsversuch auf die ukrainische Energieinfrastruktur im Jahr 2022.
Seit Beginn der russischen Vollinvasion setzt Sandworm wiederholt datenlöschende Schadsoftware gegen ukrainische Organisationen ein. Anders als Ransomware, die Dateien üblicherweise verschlüsselt, um Lösegeld zu erpressen, soll solche Software Daten dauerhaft zerstören und den Betrieb stören.
In einem im vergangenen November veröffentlichten Bericht hatte ESET erklärt, Sandworm habe zwischen Juni und September 2025 mehrere zerstörerische Angriffe gegen ukrainische Organisationen aus den Bereichen Getreide, Energie, Logistik und Verwaltung geführt. Während ukrainische Infrastruktur im Krieg häufig Ziel von Cyberangriffen ist, waren direkte Attacken auf Agrarunternehmen den Forschern zufolge bislang eher selten.
Die Erkenntnisse sind ein weiteres Beispiel für Zusammenarbeit zwischen russischen Angreifergruppen. Bereits früher im Jahr 2025 hatte ESET vier Fälle identifiziert, in denen die beiden russlandnahen Spionagegruppen Gamaredon und Turla – beide dem russischen Inlandsgeheimdienst FSB zugeordnet – dieselben ukrainischen Organisationen ins Visier nahmen. „Eine Übergabe von UAC-0099 an Sandworm ist mit Blick auf die konkret beteiligten Akteure ungewöhnlich, als Muster aber nicht mehr überraschend“, so die Forscher.