Hackers vinculados a Rusia emplearon por primera vez la red voluntaria Yggdrasil para ocultar un ataque contra una empresa ucraniana de logística de granos, que culminó en la destrucción de datos con la herramienta legítima SDelete de Microsoft.
La firma de ciberseguridad ESET informó que hackers vinculados a Rusia utilizaron la red voluntaria Yggdrasil para ocultar sus comunicaciones durante un ataque contra una empresa ucraniana de logística de granos, en lo que constituye el primer uso documentado de esa tecnología por parte de un grupo de piratería vinculado a un Estado.
El ataque culminó con la destrucción de datos en la compañía, que forma parte del vital sector exportador agrícola de Ucrania. La agricultura representaba aproximadamente una quinta parte de la economía ucraniana y casi la mitad de sus exportaciones antes de la guerra, según estimaciones de investigaciones.
ESET rastreó la intrusión de julio de 2025 hasta un correo electrónico de phishing enviado como parte de una campaña en curso dirigida a empresas de logística, compañías de granos y terminales portuarias en Ucrania, señaló el investigador Anton Cherepanov.
Los atacantes instalaron un programa que les permitía controlar de forma remota los equipos infectados, examinar archivos, capturar pantallas y robar documentos. Ese programa se comunicaba a través de un servidor oculto dentro de Yggdrasil, una red experimental administrada por voluntarios y sin propietario central.
“Debido a que es una red en malla, es más difícil de detectar”, dijo Cherepanov. ESET señaló que no había observado previamente ataques vinculados a un Estado que emplearan esa red.
Tras obtener privilegios de administrador, los atacantes activaron una herramienta de borrado que eliminó datos de los equipos afectados, explicó Cherepanov. La herramienta utilizada fue SDelete, una utilidad legítima de Microsoft diseñada para eliminar archivos de forma permanente.
“Abusaron de esta herramienta legítima”, afirmó.
Microsoft no respondió de inmediato a una solicitud de comentarios.
ESET indicó que no pudo determinar para qué se utilizaban los sistemas afectados y no pudo confirmar si el ataque interrumpió las operaciones de granos.
La intrusión inicial fue realizada por un grupo de piratería vinculado a Rusia conocido como UAC-0099, que según ESET se especializa en obtener acceso a redes. La posterior destrucción de datos presentó las características de Sandworm, un grupo ampliamente vinculado a la inteligencia militar rusa y al que antes se le atribuyeron ciberataques contra la infraestructura eléctrica de Ucrania y Polonia.
ESET evaluó que UAC-0099 logró obtener acceso y se lo entregó a Sandworm, pero indicó que no pudo determinar qué grupo operó la puerta trasera no vista anteriormente y utilizada entre la intrusión y la destrucción de datos.
La firma declinó identificar a la empresa víctima.
