ESET 22 октября опубликовала подробный разбор MythicRatatoskr — бэкдора, получавшего команды через децентрализованную сеть Yggdrasil. Его обнаружили при расследовании взлома зерновой логистической компании на Украине в 2025 году. Предварительные результаты исследователи представляли на конференциях в сентябре и октябре 2026-го; сейчас вышло техническое описание.

Вредоносная программа подключалась к публичным узлам Yggdrasil, а командный сервер находился внутри этой сети. Такой маршрут мог скрывать конечный адрес от средств сетевой защиты. Бэкдор позволял выполнять команды, передавать файлы и снимки экрана. ESET наблюдала его только в этой организации — распространённость инструмента за её пределами не установлена.

По телеметрии ESET, первоначальное проникновение через фишинговое письмо произошло 16 июля 2025 года, бэкдор появился на следующий день. 17 сентября началось удаление данных утилитой Microsoft SDelete. Исследователи с высокой уверенностью связывают первый этап с UAC-0099, а уничтожение данных — с Sandworm; кто именно управлял MythicRatatoskr, они не установили.

Yggdrasil создаёт зашифрованную сеть поверх обычных интернет-соединений. Её разработчики прямо предупреждают: анонимность не является целью проекта, непосредственные соседи видят IP-адреса друг друга. Шифрование защищает содержимое трафика от промежуточных узлов, но не делает участников невидимыми.

В этом расследовании ESET построила карту Yggdrasil и нашла на ней командный сервер. Физическое местоположение определить было трудно, однако блокировка подключений к публичным узлам оставалась возможной мерой защиты. Использование децентрализованной сети усложнило обнаружение, но не сделало связь бэкдора неуязвимой для блокировки.