Ataque informático a empresa ucraniana: hackers permanecieron dos meses dentro y luego borraron los datos

Un solo correo de phishing fue suficiente para que, dos meses después, los atacantes comenzaran a destruir datos corporativos. La empresa ESET reveló los detalles del hackeo a una empresa ucraniana dedicada a la logística de granos. La primera intrusión ocurrió el 16 de julio de 2025, y el 17 de septiembre los atacantes iniciaron herramientas de borrado de archivos. El nombre de la organización afectada no se divulga.

El inicio fue un correo dirigido con un adjunto malicioso. Tras ejecutar el contenido, en el equipo apareció el cargador MATCHBOIL, que instaló el backdoor MATCHWOK. Ya el 17 de julio los atacantes entregaron otra herramienta, hasta entonces desconocida para ESET, llamada MythicRatatoskr. Más tarde se encontraron copias de MythicRatatoskr en otras máquinas de la empresa, adonde los archivos se transferían mediante OpenSSH SFTP.

Una función inusual en el ataque la desempeñó la red Yggdrasil. En lugar de un servidor de mando accesible directamente a través de Internet, MythicRatatoskr se comunicaba con un nodo de comando dentro de una red descentralizada. Yggdrasil conecta a los participantes por IPv6 y protege el intercambio con cifrado de extremo a extremo. La arquitectura complicó la localización del servidor físico, aunque la propia red no garantiza el anonimato.

En cada ejecución MythicRatatoskr generaba una nueva clave criptográfica, por lo que cambiaba la dirección IPv6 de la máquina infectada. En el código había una lista de 32 nodos públicos de Yggdrasil; se elegían aleatoriamente tres para la conexión. Luego el backdoor se comunicaba con el servidor de control por HTTPS a través del puerto 443. Las herramientas habituales de monitorización podían no ver la dirección del nodo final.

El backdoor era capaz de ejecutar comandos de Windows, enviar archivos, tomar capturas de pantalla y crear conexiones proxy. Al conectarse, el programa enviaba el nombre de usuario, el nombre del equipo y parámetros de red. En varios equipos ESET también detectó un servidor SOCKS5 independiente. Según la compañía, es probable que los atacantes instalaran una herramienta adicional a través de MythicRatatoskr.

El malware se anclaba como servicio de Windows con el nombre ieupdate, y algunas compilaciones se disfrazaban de componentes del sistema. Parte de las muestras esperaban diez minutos antes de conectarse a Yggdrasil, supuestamente para eludir la detección. Huellas en la configuración apuntan a una posible versión para Linux; sin embargo, ESET no ha presentado por ahora confirmación de la existencia o uso de esa compilación.

El 17 de septiembre los atacantes pasaron a destruir información. Para el borrado emplearon SDelete, la utilidad estándar de Microsoft, y para propagar el programa ayudaron las políticas de grupo de Active Directory. Este mecanismo permite ejecutar acciones de forma simultánea en numerosos equipos del dominio. La magnitud de las pérdidas y las posibles interrupciones en la actividad de la empresa de granos no se han establecido públicamente.

ESET considera con alta confianza que la intrusión inicial y la destrucción de datos fueron realizadas por participantes distintos que se transfirieron el acceso a la red. No se pudo determinar quién controlaba MythicRatatoskr. La compañía también indica que las conexiones con nodos públicos de Yggdrasil se pueden bloquear, incluso si el servidor de comando está oculto dentro de la red descentralizada.