ESET 披露了一款此前无公开记录、由 Go 语言编写的全新后门 MythicRatatoskr，它最标志性的手法就是把 C2 部署在去中心化 Yggdrasil IPv6 网状覆盖网络之内，也是首起被证实、国家背景 APT 团伙大规模利用 Yggdrasil 做命令信道的入侵事件；本次攻击是典型流水线协作：UAC‑0099（Earth Sirrush）负责突破、驻留、维持访问，拿到稳定内网立足点之后，将整个入侵通道移交 Sandworm，后者进场执行最终的数据擦除破坏，目标为乌克兰一家粮食物流企业，完整入侵周期长达 63 天。
整个入侵链条始于 2025‑07‑16，UAC‑0099 通过鱼叉钓鱼邮件携带恶意附件落地，经由 MATCHBOIL 下载器释放 MATCHWOK 后门；次日攻击者投放 MythicRatatoskr，随后横向扩散到内网其他主机，并部署 SOCKS5 代理隧道供外部操作。攻击者没有立刻破坏，而是长期潜伏、测绘内网、维持隐蔽通道；直至 2025‑09‑17，Sandworm 通过域组策略推送 SDelete，在域内批量执行数据销毁，符合该团伙一贯破坏性攻击手法。
选择 Yggdrasil 的核心优势在于它是端到端加密、无中心化节点的 P2P 网状网络，流量走独立 IPv6 覆盖层，常规边界防火墙、威胁情报很难直接定位 C2 的物理地址；每次运行会重新生成 Ed25519 密钥，对应的 Yggdrasil IPv6 地址随之变化，进一步抬高网络侧溯源门槛。不过研究同时强调，Yggdrasil 本身不提供匿名性，只是大幅增加检测与封堵成本；MythicRatatoskr 在运行时会从硬编码列表随机挑选三个公开 Peer 接入公网 Yggdrasil，采用 HTTPS 443、JSON POST 上报心跳与任务，部分样本内置十分钟启动延迟，规避沙箱即时检测。
MythicRatatoskr 具备全套标准后门能力：命令执行、文件上下传、屏幕截图、目录遍历、正向与反向 SOCKS5 代理；持久化方式是注册名为 ieupdate 的 Windows 服务，配置文件使用 AES‑256‑CFB 加密并以隐藏点文件存放。二进制中的路径痕迹暗示同时存在 Linux 变体，威胁面不止 Windows。团伙分工模式也值得警惕：UAC‑0099 作为 “接入商” 负责踩点拿权限、建立可靠隧道，Sandworm 作为 “破坏方” 只在时机成熟时入场执行擦除，权责切割，降低单一团伙暴露风险，这种转包式协同正在越来越多地出现在俄乌相关的定向破坏行动中。
对防御方而言，该事件的警示不在于新的破坏工具，而在于两条趋势：攻击者开始规模化采用小众实验型覆盖网络隐藏 C2；破坏性攻击正在走向专业化分工，拿到权限不等于立刻引爆，可能潜伏数月等待窗口期。传统只监控知名恶意域名、普通 IP 黑名单的检测方案很容易漏掉这类隧道流量。
MythicRatatoskr 关键特征清单
- 开发语言：Go，基于 yggstack 接入 Yggdrasil，无需创建系统 TUN 隧道
- 持久化：Windows 服务，服务名 ieupdate；配置文件为加密隐藏文件
- 通信：接入公网 Yggdrasil，内置 32 个硬编码 Peer，随机选取三个连接；HTTPS 443，心跳、任务、回传、取文件四类消息
- 核心能力：Shell 执行、文件上传下载、截图、正向 / 反向 SOCKS5 代理、内网中继
- 延迟反沙箱：部分样本设置启动延时，避免一运行就连 C2
- 跨平台迹象：二进制残留 Unix 路径，确认存在 Linux 版本开发痕迹
- 命名由来：北欧神话，Ratatoskr 是在世界之树 Yggdrasil 之间传递消息的松鼠，对应后门在网状网络中转指令的角色
攻击参与团伙分工对照
| 团伙 | 角色 | 典型 TTP |
|---|---|---|
| UAC‑0099（Earth Sirrush） | 初始接入、维持驻留、内网测绘、通道搭建 | 鱼叉钓鱼、MATCHBOIL / MATCHWOK、部署 MythicRatatoskr、搭建代理隧道 |
| Sandworm（GRU Unit 74455） | 后期接管、破坏性载荷执行 | 通过 AD 组策略下发 SDelete，批量擦除数据，典型擦除攻击手法 |
可落地检测与缓解步骤
- 边界侧管控：审计并限制出站 Yggdrasil Peer 连接，将报告给出的 Peer 列表加入出站黑名单；重点监控非常规 IPv6 overlay、未知 P2P 隧道。
- 主机侧狩猎：检索服务名 ieupdate、进程名 krbtman.exe、OneDriveLiveUpdater.exe；查找固定路径下以点开头的隐藏加密配置文件。
- 域控审计：监控组策略异常推送、批量调用 SDelete、大量文件擦除行为，这是 Sandworm 进场的标志性信号。
- 邮件入口加固：对业务相关收件人强化鱼叉钓鱼过滤，尤其是来自外部、带宏与压缩附件的定向邮件。
- 流量基线建立：监控内网主机主动访问小众网状网络节点、异常 IPv6 出站、443 TLS 证书频繁轮换的中继流量。
- 事件响应预案：如果发现 Yggdrasil 接入行为，不能只杀进程，要排查是否已经被转交第三方团伙，确认域内是否已经预埋擦除载荷。
小结
MythicRatatoskr 是一个标志性样本：它证明攻击者已经把小众去中心化网状网络当成新一代隐蔽 C2 载体，同时 “拿权限团伙 + 破坏团伙” 流水线式协同已经成熟。它本身不是一个超强零日武器，而是一套隐蔽的中继与转交工具；真正杀伤力来自长周期潜伏与分工，一旦权限移交 Sandworm，目标就会面临不可逆的数据销毁。
【相关 FAQ】
问题 1：MythicRatatoskr 为什么选择 Yggdrasil 网状网络承载 C2？
回答 1：Yggdrasil 是端到端加密的去中心化 IPv6 覆盖网状网络，没有单一中心 C2 IP，常规威胁情报难以定位；它可以避开传统域名与 IP 黑名单，并且每次启动生成新密钥、新 Yggdrasil IPv6，提升溯源难度，尽管它本身不提供匿名性。
问题 2：UAC‑0099 和 Sandworm 在本次 MythicRatatoskr 攻击里各自做什么？
回答 2：UAC‑0099 负责鱼叉突破、部署 MythicRatatoskr、维持驻留、打通代理隧道；稳定掌握内网之后，把访问权限转交 Sandworm，再由 Sandworm 通过组策略下发 SDelete，批量执行数据销毁。
问题 3：MythicRatatoskr 有哪些主机痕迹可以用来狩猎？
回答 3：它会注册名为 ieupdate 的 Windows 服务，样本常伪装成 krbtman.exe、OneDriveLiveUpdater.exe；在固定路径放置加密隐藏配置文件，部分样本带有十分钟启动延时，同时二进制痕迹提示存在 Linux 版本。
问题 4：防御方要怎么识别这类依托 Yggdrasil 的后门？
回答 4：优先阻断报告中公布的 Yggdrasil 公开 Peer；监控主机出站到 Yggdrasil 节点的流量、异常 IPv6 overlay、频繁轮换 TLS 证书的 443 中继；同时告警组策略推送 SDelete、批量文件擦除这类 Sandworm 标志性动作。
【参考资料】
[2026‑10‑22] ESET Research：MythicRatatoskr: An Yggdrasil-enabled backdoor deployed in a UAC-0099-Sandworm collaboration
[2026‑10‑28] ESET 官方博客完整 TTP、样本、Peer 列表、MITRE ATT&CK 映射
[2026‑10‑23] OffSeq / AlienVault OTX IOC 收录
[2026‑10‑23] WeLiveSecurity 多语种同步披露
【免责声明】
本分析基于 ESET 公开威胁报告；Yggdrasil 本身属于合法开源网络项目，并非恶意软件；MythicRatatoskr 当前公开样本仅在本次乌克兰粮食企业入侵中被确认，不代表已经大规模扩散；相关 IOC、检测规则请以厂商最新威胁情报为准。
本文来自作者[等离子枢]投稿，不代表乌兰科技网立场，如若转载，请注明出处：https://www.wlcbnews.com/kjyw/202611/769.html
评论列表（4条）
我是乌兰科技网的签约作者“等离子枢”！
希望本篇文章《重磅 APT 分析｜新型后门 MythicRatatoskr 曝光依托 Yggdrasil 网状网络隐匿 C2，双团伙流水线分工，拿下权限后转交实施定向数据销毁》能对你有所帮助！
本站[乌兰科技网]内容主要涵盖：互联网行业的追踪与探索
本文概览：ESET 披露了一款此前无公开记录、由 Go 语言编写的全新后门 MythicRatatoskr，它最标志性的手法就是把 C2 部署在去中心化 Yggdrasil IPv6 网状覆盖网络之内，也是首起被证实、国家背景 APT 团伙大规模利用 Yggdrasil 做命令信道的入侵事件；本次攻击是典型流水线协作：UAC‑0099（Earth Sirrush）负责突破、驻留、维持访问，拿到稳定内网立足点之后，将整个入侵通道移交 Sandworm，后者进场执行最终的数据擦除破坏，目标为乌克兰一家粮食物流企业，完整入侵周期长达 63 天。