Kelompok peretas yang didukung pemerintah Rusia, Sandworm, berkolaborasi dengan aktor ancaman lain guna melancarkan aksi penghancuran data yang menyasar sebuah perusahaan logistik Ukraina pada tahun lalu.
Berdasarkan laporan ESET, insiden ini melibatkan kelompok UAC-0099 (yang juga dikenal dengan nama Earth Sirrush) saat memperoleh akses awal ke target pada 16 Juli 2025 melalui surel spear-phishing berisikan lampiran berbahaya, yang kemudian menyebarkan backdoor MATCHWOK lewat pengunduh bernama MATCHBOIL.
Rangkaian aktivitas intrusi tersebut akhirnya berujung pada penyerahan kendali akses ke Sandworm, yang kemudian mengeksekusi serangan penghapusan data secara masif pada 17 September 2025, berselang lebih dari dua bulan pasca penyusupan perdana.
Hal yang membuat operasi siber ini sangat menonjol adalah pemanfaatan backdoor baru yang belum pernah terdokumentasi sebelumnya bernama MythicRatatoskr oleh UAC-0099, yang berkomunikasi aktif dengan peladen command-and-control (C2) di dalam jaringan mesh terdesentralisasi Yggdrasil. Pintu belakang ini disebarkan hanya berselang satu hari setelah MATCHWOK aktif berjalan.
Terdapat sejumlah indikasi kuat bahwa proses pengembangan malware backdoor ini telah dimulai antara kurun waktu Desember 2024 hingga Februari 2025. Kemampuannya tergolong cukup lugas, mencakup pengiriman metadata korban ke peladen C2, pengecekan instruksi perintah baru secara berkala, pengiriman hasil eksekusi perintah, pengambilan tangkapan layar, hingga proses pengunggahan serta pengunduhan dokumen.
Perangkat perusak ini pun mampu memodifikasi direktori kerja aktif, memindai daftar isi direktori, memperbarui alamat tautan peladen C2, mengeksekusi perintah shell menggunakan "cmd.exe," serta memicu pembentukan reverse proxy SOCKS5. Selain fitur tersebut, beberapa artefak memperlihatkan adanya jeda booting selama 10 menit guna menunda koneksi langsung ke jaringan Yggdrasil demi menyamarkan jejak serangan.
"Sepanjang pemahaman kami, ini merupakan kasus pertama yang terdokumentasi mengenai penyalahgunaan Yggdrasil oleh kelompok aktor ancaman yang berafiliasi dengan negara, dan hal ini kemungkinan menandai tren yang lebih luas di mana para peretas mulai mengadopsi jaringan peer-to-peer eksperimental guna memperkuat ketahanan serta kerahasiaan infrastruktur operasional mereka," ungkap peneliti ESET Anton Cherepanov dan Peter Strýček.
MythicRatatoskr dilaporkan dipakai untuk menyebarkan peladen SOCKS5 demi mengalihkan lalu lintas koneksi melalui jaringan yang telah diretas. Puncak serangan terjadi ketika Sandworm melakukan aksi penghapusan berkas memakai utilitas resmi SDelete melalui Active Directory Group Policy. Menarik untuk dicatat bahwa malware NikoWiper milik Sandworm juga berbasis pada mekanisme SDelete.
Kendati sistem yang diinvestigasi oleh ESET berbasis lingkungan Windows, rujukan kode sumber terhadap perintah "crond" di dalam MythicRatatoskr mengindikasikan kemungkinan tersedianya varian program serupa yang dirancang untuk platform Linux.
Dugaan kemitraan erat antara UAC-0099 dan Sandworm sesungguhnya bukan temuan baru. Dalam Laporan Aktivitas APT Q2 2025–Q3 2025, tim ESET sempat memantau manuver UAC-0099 dalam memfasilitasi infiltrasi awal sebelum kemudian menyerahkan "target tervalidasi" kepada Sandworm untuk proses eksploitasi lanjutan.
Operasi serangan gabungan ini menyasar sektor-sektor strategis meliputi lembaga pemerintahan, energi, rantai pasok logistik, hingga komoditas biji-bijian di Ukraina, sebagaimana dipaparkan firma keamanan siber asal Slowakia tersebut saat itu.
Bentuk kolaborasi taktis antarkelompok pendukung Rusia seperti ini sudah sering terjadi. Pada tahun sebelumnya, ESET juga menemukan bukti nyata kemitraan antara Gamaredon dan Turla dalam menyerang target institusi Ukraina secara bersamaan, di mana modul PteroGraphin milik Gamaredon dimanfaatkan untuk memasang backdoor Kazuar milik Turla.
Tak hanya itu, pengunduh Pterodo yang terafiliasi dengan Gamaredon turut dipakai guna mengambil dan mengeksekusi InvisiMole, perangkat lunak mata-mata modular yang kerap diterjunkan menyasar berbagai sasaran di wilayah Ukraina serta Rusia.
"Kolaborasi semacam ini menegaskan potensi operasi spionase siber terkoordinasi di antara entitas yang berpihak pada Rusia, yang tampaknya sengaja dirancang untuk melipatgandakan dampak kerusakan operasional mereka," tegas ESET.
