原文標題：MythicRatatoskr: An Yggdrasil-enabled backdoor deployed in a UAC-0099-Sandworm collaboration
發生了什麼事
ESET 10 月 22 日公布 MythicRatatoskr 後門研究，指出這款以 Go 語言開發、先前未公開記錄的惡意程式，利用 Yggdrasil 分散式網狀網路與命令控制（C&C）伺服器聯繫。研究追蹤的案件涉及烏克蘭一家穀物物流企業，攻擊初始階段由 UAC-0099 執行，之後與 Sandworm 的資料清除行動形成關聯。
根據 ESET 遙測，2025 年 7 月 16 日攻擊者透過含惡意附件的魚叉式釣魚郵件取得初始存取權，先後部署 MATCHBOIL 下載器與 MATCHWOK 後門；翌日又在受害主機執行 MythicRatatoskr。研究團隊指出，2025 年 9 月 17 日 Sandworm 對目標發動資料清除攻擊，並以高度信心判斷兩個組織間曾發生存取權交接。
Yggdrasil 建立受端對端保護的 IPv6 覆蓋網路，沒有單一中心節點。MythicRatatoskr 內嵌可連線的公開節點清單，隨機選擇三個節點加入網路，再透過 HTTPS 443 連接網路內的 C&C 端點。惡意程式可回傳使用者、主機與區域網路資訊，並執行檔案傳輸、螢幕擷取與遠端命令。
研究指出其持續執行方式包括註冊名為 ieupdate 的 Windows 服務，部分樣本具有十分鐘啟動延遲。ESET 也發現可能存在 Linux 版本的線索，但尚未證實實際使用情形。研究團隊強調，Yggdrasil 並非為匿名而設計，阻擋已知公開節點可作為緩解措施之一。
為什麼重要
合法網狀網路也可能被濫用為控制通道，增加只監控傳統單一 C&C 網域的偵測難度。此案同時揭露不同威脅組織的存取權交接風險。
影響哪些人
受影響的是政府、物流、能源及烏克蘭相關組織的資安團隊，以及監控未知 IPv6 覆蓋網路流量的企業。
已確認與未確認
已確認樣本功能、調查時間線及研究者的歸因信心；ESET 尚不能判定後門主要由 UAC-0099 或 Sandworm 操作，也未證實 Linux 版本已部署。
