Un ciberataque ruso usó Yggdrasil antes de borrar datos en Ucrania

Un grupo de piratas informáticos alineado con Rusia utilizó por primera vez de forma documentada la red descentralizada Yggdrasil para ocultar parte de la infraestructura de un ciberataque estatal. La operación terminó con el borrado de datos de una empresa ucraniana dedicada a la logística de cereales. El ataque ocurrió entre julio y septiembre de 2025, aunque sus detalles técnicos se han conocido con profundidad en octubre de 2026.

La intrusión comenzó con algo bastante menos exótico que una red experimental: un correo de phishing con un archivo malicioso. El grupo UAC-0099 consiguió acceso a los sistemas de la compañía el 16 de julio de 2025 y ese acceso acabó posteriormente relacionado con Sandworm, uno de los actores de ciberamenazas más notorios vinculados a los intereses rusos. Dos meses después, el 17 de septiembre, llegó la fase destructiva: archivos y datos fueron eliminados de los equipos de la empresa.

Lo verdaderamente llamativo está entre ambos momentos. Los atacantes desplegaron una puerta trasera hasta entonces desconocida, bautizada como MythicRatatoskr, cuyo servidor de mando y control se encontraba escondido dentro de Yggdrasil. No es una red clandestina creada por delincuentes, sino un proyecto legítimo y descentralizado. Precisamente ahí está el problema: una infraestructura concebida para ser resistente y distribuida puede convertirse también en un escondite bastante incómodo de desmontar.

MythicRatatoskr, la puerta trasera escondida en Yggdrasil

MythicRatatoskr apareció en los sistemas comprometidos el 17 de julio de 2025, apenas un día después del acceso inicial. Está desarrollado en Go, un lenguaje cada vez más habitual en herramientas maliciosas por la facilidad con la que permite crear ejecutables autónomos y multiplataforma. Sus funciones son las propias de una puerta trasera de espionaje: ejecutar órdenes, moverse por el sistema de archivos, transferir documentos, realizar capturas de pantalla y canalizar conexiones de red.

En otras palabras, permitía convertir una máquina infectada en una ventana abierta desde el exterior. El atacante podía observar el sistema, copiar información y manipular archivos sin necesidad de volver a superar las defensas iniciales. Los investigadores también encontraron indicios de que podría existir una versión para Linux, aunque no se ha documentado su utilización en otras víctimas.

Por el momento, MythicRatatoskr no ha aparecido públicamente en otras campañas. Tampoco está completamente resuelto quién manejaba directamente esta herramienta. La investigación atribuye con alta confianza el acceso inicial a UAC-0099 y la fase destructiva a Sandworm, pero no determina cuál de los dos grupos operó específicamente la nueva puerta trasera. Esa zona gris importa: en las operaciones estatales, quien abre la puerta, quien observa y quien acaba rompiendo los muebles no siempre figura en el mismo organigrama.

Una red legítima convertida en escondite

Yggdrasil funciona como una red mallada y descentralizada que crea una capa IPv6 sobre internet. Sus nodos pueden comunicarse entre ellos sin depender de una única infraestructura central y el tráfico entre participantes está protegido de extremo a extremo. Está pensada para experimentación, conectividad resistente y proyectos técnicos legítimos; no nació como una red de anonimato para ciberdelincuentes.

Pero la ausencia de un único servidor central introduce una ventaja evidente para un atacante. Cuando una operación maliciosa depende de un dominio convencional o de una dirección IP alojada en un proveedor concreto, los defensores pueden bloquearla, intervenirla o intentar localizar físicamente su infraestructura. Aquí cambia el tablero: no existe un interruptor único cuya desconexión haga desaparecer toda la red.

Eso no vuelve invisible al atacante, ni Yggdrasil debe confundirse con Tor. Sí complica, en cambio, la identificación y neutralización del servidor de mando y control utilizado para enviar instrucciones al malware. Localizar físicamente el servidor asociado a MythicRatatoskr resultó especialmente difícil, uno de los elementos que hacen relevante esta operación.

El nombre tiene incluso su pequeño guiño mitológico. Yggdrasil es el árbol que conecta distintos mundos en la mitología nórdica; Ratatoskr, una ardilla que corre por él transportando mensajes. Los investigadores bautizaron el malware MythicRatatoskr porque hacía algo vagamente parecido, aunque aquí la ardilla no llevaba chismes entre criaturas mitológicas, sino órdenes de un atacante y archivos obtenidos de una red comprometida.

Del correo malicioso al control de la red

La campaña empezó de la manera que tantas veces funciona porque sigue explotando el componente más imprevisible de cualquier sistema informático: una persona delante de una pantalla. UAC-0099 envió un correo dirigido específicamente a la víctima, con un archivo adjunto preparado para comprometer el equipo.

A partir de ahí apareció una cadena de herramientas que los investigadores ya relacionaban con el grupo, entre ellas el descargador MATCHBOIL y la puerta trasera MATCHWOK. Esa continuidad técnica es una de las pistas utilizadas para atribuir la primera fase de la operación a UAC-0099 con un grado elevado de confianza.

Una vez dentro, MythicRatatoskr enviaba al servidor remoto información sobre el usuario conectado, el nombre del equipo y la configuración de la red local. También podía extraer archivos y capturas de pantalla mediante conexiones HTTPS encaminadas a través de Yggdrasil. Los investigadores consideran probable que también se utilizara para desplegar un servidor SOCKS5, una herramienta capaz de redirigir tráfico mediante la infraestructura comprometida.

A estas alturas el ataque deja de parecer una simple sucesión de programas maliciosos y se entiende mejor como una ocupación silenciosa de la red. Primero se entra. Después se consolida el acceso, se observa el entorno desde dentro, se despliegan herramientas y se construyen rutas para seguir operando sin llamar demasiado la atención. Solo más tarde llega la destrucción.

UAC-0099 abrió la puerta y Sandworm terminó el ataque

La investigación sostiene que UAC-0099 actuó como grupo de acceso inicial y que posteriormente el control de la operación terminó en manos de Sandworm. Ese reparto de funciones resulta especialmente relevante porque muestra cooperación, transferencia de accesos o complementariedad operativa entre actores alineados con Rusia.

UAC-0099 ha centrado buena parte de su actividad en objetivos ucranianos relacionados con organismos públicos, instituciones financieras y medios de comunicación. Sandworm, por su parte, acumula una reputación mucho más conocida por operaciones destructivas y ha sido relacionado por investigadores occidentales con la Unidad 74455 del GRU, la inteligencia militar rusa.

La relación entre grupos tampoco surge de la nada. Desde hace años se observa cómo distintas estructuras vinculadas a intereses rusos comparten accesos, herramientas o víctimas. El modelo recuerda, salvando las distancias, a una obra en la que una cuadrilla prepara el terreno y otra entra después con maquinaria pesada. En el mundo digital, claro, la excavadora pesa unos cuantos megabytes.

Para la empresa atacada, el desenlace llegó el 17 de septiembre de 2025. Sandworm desplegó SDelete mediante las políticas de grupo de Active Directory, un mecanismo administrativo utilizado normalmente para gestionar numerosos equipos Windows desde un entorno corporativo. Aprovechar esa misma infraestructura contra la organización permitió extender el borrado desde dentro de la propia red.

El borrado utilizó una herramienta legítima de Microsoft

Hay otra ironía técnica. El programa utilizado para destruir los datos no era un malware oscuro construido exclusivamente para esta operación. SDelete es una herramienta legítima de Microsoft Sysinternals, diseñada para eliminar archivos de manera segura y dificultar su recuperación posterior mediante la sobrescritura de los datos almacenados en disco.

Es un ejemplo clásico de lo que en ciberseguridad se conoce como living off the land: aprovechar herramientas legítimas o funciones ya presentes en un ecosistema informático para realizar acciones maliciosas. El software no distingue entre un administrador que elimina información confidencial antes de retirar un equipo y un atacante decidido a dejar una empresa sin datos. La intención la pone quien ejecuta la orden.

No se ha revelado públicamente el nombre de la compañía atacada y tampoco se ha confirmado que el incidente llegara a paralizar por completo sus operaciones logísticas. Sí se documentó una pérdida considerable de información, suficiente para situar la operación más allá de una mera campaña de espionaje.

El sector elegido tampoco es trivial. En una Ucrania sometida desde hace años a una guerra que se libra al mismo tiempo sobre carreteras, puertos, redes eléctricas y servidores, las empresas vinculadas al cereal tienen un peso económico y estratégico particular. Las campañas digitales contra agricultura, transporte y logística encajan así con una presión que existe también en el mundo físico.

Por qué este ataque preocupa más allá de Ucrania

La pieza más novedosa del caso no es el phishing, ni siquiera el borrado de información. Ambos forman parte desde hace años del repertorio de los grupos avanzados. El salto está en utilizar una red descentralizada legítima para alojar la infraestructura de mando y control de una operación vinculada a actores estatales.

Se trata del primer caso documentado por estos investigadores en el que Yggdrasil se emplea de esta manera en una operación atribuida a un actor alineado con un Estado. El antecedente abre una posibilidad incómoda: que otros grupos adopten redes experimentales, distribuidas o entre pares para hacer más resistentes sus sistemas de control y dificultar su desmantelamiento.

Eso no significa que Yggdrasil se haya convertido de repente en una red criminal. Sería tan absurdo como responsabilizar al correo electrónico de cada estafa que circula por una bandeja de entrada. La tecnología es neutral; el uso no siempre lo es. Precisamente por eso la defensa resulta más delicada: bloquear indiscriminadamente herramientas legítimas puede ser tan poco práctico como permitir cualquier tráfico solo porque procede de un proyecto conocido.

Para empresas y organismos públicos, el episodio recuerda algo menos espectacular y bastante más útil: los ataques sofisticados continúan comenzando muchas veces por mecanismos perfectamente ordinarios. Un adjunto malicioso, unas credenciales, un primer equipo comprometido. Después llegan los nombres mitológicos, las redes distribuidas y el malware escrito en Go. Antes hubo un correo.

La ciberguerra aprende a esconder su infraestructura

MythicRatatoskr no cambia por sí solo las reglas de la ciberseguridad, pero sí muestra hacia dónde puede desplazarse una parte de la amenaza. La infraestructura centralizada es vulnerable porque posee puntos reconocibles que bloquear. Las redes distribuidas, por definición, reparten esos puntos y vuelven bastante más incómodo seguir el hilo hasta quien se encuentra al otro extremo.

El episodio reúne dos tendencias que llevan tiempo avanzando en paralelo: la cooperación entre grupos especializados y el aprovechamiento de tecnologías legítimas para reducir la huella del atacante. UAC-0099 consiguió entrar; una herramienta inédita mantuvo un canal de control escondido en Yggdrasil; Sandworm terminó desplegando una operación de borrado.

Nada especialmente cinematográfico. Ese es, quizá, el detalle más inquietante. La sofisticación no estuvo en una única pieza milagrosa de malware, sino en encadenar accesos, herramientas y actores hasta convertir una intrusión iniciada con un correo electrónico en una operación destructiva difícil de seguir desde fuera. El viejo espionaje, solo que el mensajero corre ahora por un árbol nórdico construido con IPv6.