ESET detecta un ciberataque vinculado con Rusia que usó la red Yggdrasil

Investigadores de la empresa de ciberseguridad ESET identificaron una operación informática vinculada con grupos alineados con Rusia que utilizó la red descentralizada Yggdrasil para ocultar las comunicaciones de un programa malicioso durante un ataque contra una empresa ucraniana de logística de cereales. La intrusión comenzó en julio de 2025 y terminó en septiembre de ese año con una operación destinada a borrar datos de los sistemas comprometidos.

Según el informe publicado por ESET el 22 de octubre de 2026, los atacantes emplearon una puerta trasera informática hasta entonces desconocida, denominada MythicRatatoskr, cuyo servidor de mando y control estaba alojado dentro de la red Yggdrasil.

Cómo se desarrolló el ciberataque

De acuerdo con la investigación, el grupo UAC-0099 obtuvo acceso inicial a los sistemas de la compañía el 16 de julio de 2025 mediante un correo electrónico de spear phishing, una modalidad de engaño digital dirigida a una víctima específica y que incluía un archivo adjunto malicioso.

Tras comprometer el equipo, los atacantes desplegaron herramientas que les permitieron mantener el acceso y, al día siguiente, instalaron MythicRatatoskr. Este programa podía ejecutar comandos, explorar archivos, transferir información, capturar pantallas y facilitar conexiones a través de la red comprometida.

ESET atribuyó posteriormente la operación destructiva al grupo Sandworm, también vinculado con intereses rusos. Según la investigación, el acceso inicial obtenido por UAC-0099 fue transferido a Sandworm, que el 17 de septiembre de 2025 ejecutó una acción para borrar información de los sistemas afectados.

Por qué utilizaron la red Yggdrasil

Yggdrasil es una red descentralizada de tipo mesh que permite conectar dispositivos sin depender de un único servidor central. Utiliza comunicaciones IPv6 protegidas de extremo a extremo entre los nodos participantes.

Esta arquitectura fue aprovechada por los atacantes para alojar el servidor de mando y control del programa malicioso dentro de la propia red. Al no depender de una infraestructura central convencional, la comunicación puede resultar más difícil de identificar y bloquear mediante algunas herramientas de seguridad.

Los investigadores señalaron que este caso constituye el primer uso documentado por ESET de Yggdrasil con este propósito por parte de un actor de amenazas alineado con un Estado. Sin embargo, la compañía aclaró que la red no fue diseñada específicamente para proporcionar anonimato.

Qué se sabe de los grupos involucrados

ESET atribuyó con un alto nivel de confianza la fase inicial de la intrusión a UAC-0099 y la eliminación de datos posterior a Sandworm. La empresa considera que ambos grupos están alineados con intereses rusos, aunque no determinó si UAC-0099 o Sandworm operó principalmente la puerta trasera MythicRatatoskr.

Sandworm ha sido relacionado con operaciones destructivas contra organizaciones ucranianas, incluidas entidades gubernamentales y empresas de sectores estratégicos. El incidente vuelve a poner de relieve los riesgos que afrontan las compañías de logística y el sector agrícola de Ucrania, cuya infraestructura digital resulta relevante para el funcionamiento de sus actividades económicas.

La investigación no identificó públicamente a la empresa afectada ni estableció el alcance total de las pérdidas ocasionadas por la eliminación de datos.