Ein ukrainisches Getreide-Logistikunternehmen wurde im Juli 2025 über eine Spear-Phishing-Mail kompromittiert, zwei Monate später wurden seine Daten gelöscht. Das Neue an dem Fall ist der Transportweg: Die Angreifer versteckten ihren Steuerungsserver in einem dezentralen Mesh-Netzwerk namens Yggdrasil. ESET schreibt den Erstzugriff der Gruppe UAC-0099 und die Zerstörung Sandworm zu – und sieht darin den ersten dokumentierten Fall, in dem ein staatlich gestützter Akteur ein solches Netzwerk missbraucht.
Ein unsichtbarer Umweg zur digitalen Sabotage.
Der Zeitstempel ist ungewöhnlich präzise für einen Vorfall, der zwei Monate später in einer Datenlöschung enden sollte. Am 16. Juli 2025 um 06:59 Uhr führte auf einem Rechner eines ukrainischen Getreide-Logistikunternehmens eine geplante Aufgabe ein PowerShell-Skript aus dem Temp-Verzeichnis aus. Eine Minute später stand der Downloader MATCHBOIL auf der Maschine, der die Hintertür MATCHWOK nachlud 1.
Am nächsten Morgen um 09:28 Uhr folgte ein bis dahin unbekanntes Programm: MythicRatatoskr, eine in Go geschriebene Hintertür, deren Steuerungsserver nicht in einem Rechenzentrum steht, sondern in einem dezentralen Mesh-Netzwerk namens Yggdrasil 1 2. Knapp zwei Monate später, am 17. September 2025, wurden auf den befallenen Systemen Daten unwiederbringlich gelöscht – mit SDelete, einem legitimen Microsoft-Werkzeug, das die Angreifer über die Gruppenrichtlinien von Active Directory im gesamten Netz verteilten 1 3.
Das betroffene Unternehmen nennt ESET nicht. Auch ob der Angriff den Getreideumschlag tatsächlich störte, konnten die Forscher nicht feststellen 3. Die am 22. Oktober 2026 veröffentlichte Analyse ist dennoch bemerkenswert – nicht wegen des Schadens, sondern wegen der Infrastruktur.
Sandworm findet neue Wege durchs Netz.
Yggdrasil ist ein experimentelles, von Freiwilligen betriebenes Mesh-Netzwerk. Jeder Knoten erzeugt ein eigenes Ed25519-Schlüsselpaar, aus dem sich eine IPv6-Adresse im Bereich 200::/7 ableitet; der Datenverkehr zwischen den Knoten ist Ende-zu-Ende geschützt. Ein zentraler Hub existiert nicht, das Netz spannt sich direkt zwischen den Teilnehmern auf 1.
Für Angreifer ist genau das attraktiv. Es gibt keinen einzelnen Server, den Ermittler beschlagnahmen oder ein CERT abschalten könnte. ESET musste die Topologie des Netzes selbst neu vermessen, weil die öffentlich zugängliche Karte zuletzt im August 2024 aktualisiert worden war – fast ein Jahr vor dem Eindringen. Der Steuerungsserver der Hintertür lag dabei nahe dem Zentrum des Spannbaums und war über den Wurzelknoten mit der ID 4 erreichbar 1.
Die Schadsoftware bettet eine Liste von 32 öffentlichen Peers fest ein, aus der sie zufällig drei auswählt – die vom Projekt empfohlene Zahl. Die Kommunikation läuft als HTTPS über Port 443. Einige Samples warten zehn Minuten vor dem ersten Verbindungsaufbau, vermutlich um automatisierte Sandbox-Analysen zu umgehen. Auffällig ist zudem ein Konfigurationspfad mit vorangestelltem Punkt und Vorwärtsschrägstrichen – ein Muster, das auf Unix-Systeme hindeutet und nach Einschätzung von ESET auf eine mögliche Linux-Variante verweist 1.
Nicht anonym, aber schwer zu greifen
Wichtig für die Einordnung: Yggdrasil ist ausdrücklich nicht auf Anonymität ausgelegt. Das Projekt sagt das selbst, und ESET betont es. Der Vorteil der Angreifer liegt nicht darin, dass sie unsichtbar wären, sondern darin, dass ihre Infrastruktur nicht an einem Ort hängt. Die Abschaltbarkeit sinkt – die Rückverfolgbarkeit nicht zwangsläufig.
ESET nennt deshalb auch eine vergleichsweise schlichte Gegenmaßnahme: das Blockieren der öffentlichen Peer-Adressen. Wer den ausgehenden Verkehr auf den ungewöhnlichen IPv6-Bereich überwacht, kann Verbindungen in das Netz erkennen 1.
Worauf die Zuordnung zu Russland beruht
Die Attribution ist zweistufig – und ESET unterscheidet sauber zwischen den beiden Stufen. Die erste Phase, also Erstzugriff und Nachlade-Kette, schreibt das Unternehmen der Gruppe UAC-0099 mit hoher Konfidenz zu, weil dabei ausschließlich bereits dokumentierte Werkzeuge dieser Gruppe zum Einsatz kamen: MATCHBOIL und MATCHWOK 1 5.
UAC-0099 ist seit mindestens 2022 aktiv und wurde im Juni 2023 erstmals vom ukrainischen CERT-UA beschrieben. Die Gruppe zielt auf Regierungsstellen, Finanzinstitute und Medien in der Ukraine. Genau aus diesem Zielprofil leitet ESET die Zuordnung zu russischen Interessen ab – allerdings nur mit mittlerer Konfidenz 1 5. Das ist ein Unterschied, den man in der Berichterstattung leicht übersieht: Die Tätergruppe ist nicht durch Infrastruktur oder einen Tarnnamen überführt, sondern durch die Auswahl ihrer Opfer.
Die zweite Phase, die Datenlöschung, schreibt ESET der Gruppe Sandworm mit hoher Konfidenz zu – wegen der eingesetzten Technik. SDelete per Gruppenrichtlinie ist ein Muster, das ESET nach eigener Aussage vielfach in Sandworm-Kampagnen beobachtet hat 1. Sandworm wird allgemein der Einheit 74455 des russischen Militärgeheimdienstes GRU zugeordnet; das US-Justizministerium hatte 2020 sechs GRU-Offiziere im Zusammenhang mit Sandworm-Angriffen angeklagt 1.
Mit hoher Konfidenz geht ESET zudem davon aus, dass UAC-0099 den Zugang an Sandworm übergab. Offen bleibt, welche der beiden Gruppen die Yggdrasil-Hintertür tatsächlich bediente 1 3. Hohe Konfidenz bedeutet in der Malware-Forensik ein belastbares technisches Indizienbild, nicht einen gerichtsfesten Beweis.
Arbeitsteilung als Muster
Der Vorgang ist kein Einzelfall, sondern Teil einer Entwicklung, die ESET seit einiger Zeit beobachtet. Bereits Anfang 2025 dokumentierte das Unternehmen eine Zusammenarbeit der russlandnahen Gruppen Gamaredon und Turla, beide dem Inlandsgeheimdienst FSB zugerechnet 1.
Das Muster: Eine Gruppe spezialisiert sich auf den Erstzugriff, eine andere auf die Zerstörung. Für Verteidiger verschiebt das den relevanten Zeitpunkt nach vorn. Wer den Erstzugriff nicht erkennt, sieht später nur noch die Wirkung – und die trägt dann die Handschrift einer anderen Gruppe. UAC-0099 fungiert nach ESET-Einschätzung als Zulieferer für Sandworm 1.
Warum Getreide
Die Zielwahl ist kein Zufall. Vor dem Krieg machte die Landwirtschaft nach gängigen Schätzungen rund ein Fünftel der ukrainischen Wirtschaftsleistung und nahezu die Hälfte der Exporte aus 3. Getreide ist für Kiew nicht nur ein Wirtschaftsfaktor, sondern ein Verhandlungsinstrument gegenüber Staaten im Globalen Süden.
Sandworm hatte nach ESET-Angaben bereits Mitte 2025 Datenlöschangriffe gegen ukrainische Unternehmen aus Landwirtschaft, Energie und Transport geführt 4. Hinzu kommen physische Angriffe auf Häfen und Getreidespeicher. Digitale und kinetische Sabotage greifen hier ineinander.
Was das über die Verschleierungstaktik aussagt
Staatliche Angreifer haben ihre Infrastruktur in den vergangenen Jahren schrittweise verlagert: von eigenen Servern zu gemieteten Botnetzen, zu Cloud-Diensten, zu legitimen Plattformen. Yggdrasil ist der nächste Schritt – ein Netz, das für Forschung und Hobbybetrieb gedacht ist und nun als Transportweg für Schadsoftware dient.
Bemerkenswert ist der Aufwand: Die Binaries enthalten Hinweise darauf, dass die Entwicklung zwischen Dezember 2024 und Februar 2025 begann 1. Die Hintertür basiert auf yggstack, einer Nutzerraum-Implementierung, die keine Tunnel-Schnittstelle benötigt – sie läuft also auch ohne erhöhte Rechte. Das senkt die Eintrittsschwelle für den Angreifer und erhöht die Portabilität.
ESET formuliert es vorsichtig: Es sei der erste dokumentierte Fall, in dem ein staatlich gestützter Akteur Yggdrasil auf diese Weise missbraucht – und möglicherweise ein Signal für einen breiteren Trend, in dem Gegner experimentelle Peer-to-Peer-Netze nutzen, um die Resilienz und Tarnung ihrer Infrastruktur zu erhöhen 1.
Ob andere Gruppen folgen, ist offen. Klar ist: Die Erkennung verschiebt sich von der Suche nach bekannten bösartigen Domains hin zur Analyse von Verbindungszielen, die für sich genommen völlig legitim aussehen. Für Betreiber kritischer Infrastruktur heißt das, den ausgehenden Verkehr auf ungewöhnliche Adressbereiche zu prüfen – und die eigene Angriffsfläche für Spear-Phishing zu senken. Denn dort begann dieser Fall.
