MythicRatatoskr

01Qué ha pasado

Investigadores de ESET han documentado MythicRatatoskr, un nuevo tipo de puerta trasera desarrollada en el lenguaje de programación Go por el grupo de ciberataque UAC-0099, vinculado al servicio de inteligencia ruso y asociado a Sandworm. La herramienta oculta sus comunicaciones de control en Yggdrasil, una red de malla descentralizada entre pares, lo que dificulta su detección por los sistemas de seguridad convencionales. El ataque documentado fue destructivo y afectó a una empresa ucraniana del sector de cereales. Es la primera vez que se documenta esta técnica en un actor estatal. Los investigadores recomiendan revisar la cadena de suministro con proveedores de Europa del Este.

02Información crítica para el sector

• MythicRatatoskr es un nuevo malware de estado (Sandworm/UAC-0099) que oculta las comunicaciones de control en la red Yggdrasil, una malla descentralizada entre pares que los firewalls convencionales no detectan como tráfico de comando.
• Primera vez documentada esta técnica en un actor estatal: los equipos de seguridad no tienen reglas de detección probadas para este vector y las soluciones de seguridad convencionales pueden no detectarlo.
• El ataque documentado fue destructivo y afectó a una empresa del sector agroalimentario: el objetivo puede ser interrumpir operaciones, no solo exfiltrar información.
• La recomendación de revisar la cadena de suministro con proveedores de Europa del Este indica que el vector de entrada puede haber sido un tercero de confianza.
• El impacto directo sobre pymes españolas es bajo salvo que tengan relaciones comerciales activas con proveedores de la región afectada.

03Qué hacer ahora

1. 01
   Evaluar si hay relaciones comerciales con proveedores de Europa del Este

   Revisa si la empresa trabaja con proveedores, distribuidores o socios ubicados en Ucrania, Rusia, Bielorrusia o países del entorno. Si no los hay, el riesgo directo es muy bajo.

2. 02
   Revisar el tráfico de red saliente hacia destinos desconocidos

   Pide a IT que revise si hay tráfico de red desde los equipos corporativos hacia direcciones IP o dominios no reconocidos, especialmente tráfico cifrado hacia destinos externos poco habituales.

3. 03
   Verificar que las soluciones de antivirus y protección de endpoints están actualizadas

   Asegúrate de que el antivirus o la solución de protección de endpoints tiene las últimas firmas actualizadas. Los fabricantes de seguridad habrán añadido detección de MythicRatatoskr tras su publicación.

4. 04
   Informar al equipo de compras o logística

   Comunica al equipo que gestiona relaciones con proveedores de la región que deben estar alerta ante comunicaciones inesperadas, ficheros adjuntos o peticiones de acceso a sistemas corporativos desde esos contactos.