大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
导语
ESET最新发布深度威胁报告，披露了一起极具参考意义的APT联合攻击事件：针对乌克兰一家粮食物流企业，UAC‑0099间谍团伙完成初始入侵，植入全新Go编写后门MythicRatatoskr长期潜伏，之后将内网访问权限完整移交给大名鼎鼎的Sandworm（蠕虫部队，GRU74455部队），后者进场执行大规模数据擦除破坏，把间谍窃密入侵直接转化为实体业务 Sabotage 破坏行动。
本次攻击最大技术亮点：MythicRatatoskr后门放弃传统域名/IP的C2模式，直接把命令控制服务器部署在Yggdrasil去中心化IPv6网状网络内部。没有固定公网IP、没有传统域名，流量全部端到端加密，普通防火墙、IPS很难直接拉黑阻断，给威胁狩猎带来巨大挑战。同时报告证实，国家级威胁团伙之间“权限转手、分工作战”已经不是个例。
一、事件完整时间线：潜伏2个月，先窃密后毁灭
1. 2025‑07‑16：初始突破
UAC‑0099发送鱼叉钓鱼邮件携带恶意附件，目标主机计划任务`pdfopentask`执行PowerShell载荷，投放下载器MATCHBOIL，落地MATCHWOK基础后门，拿下企业内网立足点。
2. 2025‑07‑17：部署MythicRatatoskr核心后门
入侵次日，攻击者部署全新未公开后门MythicRatatoskr；同时在内网横向扩散，投放独立SOCKS5代理服务，打通内网访问隧道。后门伪装成Windows系统服务`ieupdate`长期驻留，在环境中静默潜伏两个多月。
3. 潜伏期：情报搜集、内网测绘
利用后门完成主机信息采集、截屏、文件窃取、搭建代理隧道，持续勘察粮食物流企业业务系统。
4. 2025‑09‑17：Sandworm接手，毁灭性数据擦除
权限交接完成，Sandworm登场，借助AD域组策略批量推送微软原生SDelete文件擦除工具，对企业业务数据实施大规模销毁，造成业务系统严重破坏。
重要背景：Sandworm就是实施NotPetya、乌克兰电网攻击的知名破坏性APT；而UAC‑0099主要做前期鱼叉入侵、内网立足，充当“初始访问中间商”，入侵完成把环境转手给擅长破坏的团伙执行最终打击，这类团伙协同作战模式近年越来越多见，之前也出现Gamaredon与Turla互相配合作战的案例。
二、核心技术：MythicRatatoskr + Yggdrasil网状网络，颠覆传统C2对抗思路
很多后门都是连接公网的域名、IP，安全设备拉黑IOC即可切断通信，但MythicRatatoskr不走寻常路。
什么是Yggdrasil？
Yggdrasil是实验性质去中心化Mesh网状IPv6网络，节点之间端到端加密通信，不需要中心化服务器。节点IPv6地址由Ed25519公钥生成，节点随机连接公开对等节点组网。
注意：该网络本身是合法实验项目，并不提供匿名性，但是极难定位C2服务器物理位置。后门基于开源yggstack二次开发，不需要创建系统TUN隧道，普通权限就可以接入网状网络，兼容性极强。
MythicRatatoskr后门关键能力
1. 持久化伪装
安装为Windows服务`ieupdate`，二进制大量伪装系统程序文件名：`windowsdefendersvc.exe`、`updater.exe`、`krbtman.exe`，存放于system32、OneDrive目录，配置文件为带点隐藏文件`.updatecache`；样本内置10分钟延迟启动，刚运行不会立刻联网C2，规避沙箱动态分析。同时报告发现代码痕迹提示存在Linux版本变种后门，不止局限Windows平台。
2. 全套间谍功能
支持shell命令执行、全盘文件上下传、全屏截屏、目录遍历；最重要能力：内置反向SOCKS5代理，打通Yggdrasil网络到受害企业内网的隧道，外部攻击者可以穿透边界访问内网各类业务主机。
攻击者还额外投放独立的bindProxy SOCKS5本地代理程序，和后门自带代理形成双重隧道备份。
3. 加密配置
本地配置文件使用AES‑256‑CFB加密；不需要附带外部配置文件，二进制内置默认配置，运行时自动生成加密配置落地磁盘，后期还能通过C2远程更新参数。
4. C2完全运行在Yggdrasil网状网络内部
C2是Yggdrasil内部IPv6地址，没有公网IP；后门内置32个公开对等节点列表，每次运行随机挑选3个节点接入网状网络，通过443端口HTTPS进行JSON格式指令交互。
👉传统防护痛点：防火墙黑名单无法直接封禁一个网状网络内部IPv6节点，就算拉黑单个对等节点，后门还可以切换其余节点继续联网。
三、完整攻击链路拆解
1. 鱼叉钓鱼附件执行 → MATCHBOIL下载器执行 → MATCHWOK后门建立初始立足点
2. 投递MythicRatatoskr，注册系统服务实现持久化，接入Yggdrasil网状网络建立C2信道
3. 后门执行情报采集、截屏、文件窃取，部署SOCKS5代理，完成内网测绘与横向移动
4. UAC‑0099完成前期工作，将内网访问权限移交Sandworm
5. Sandworm利用AD组策略下发SDelete，批量擦除服务器业务数据，完成破坏性打击
四、企业防御容易踩的3大盲区
盲区1：只拉黑公网IP、域名IOC，完全忽略去中心化网状网络C2
攻击者C2藏在Yggdrasil这类实验网状网络中，没有传统公网域名IP，单纯黑名单策略直接失效，必须转向行为检测。
盲区2：看到系统服务名、系统文件名就直接放行
MythicRatatoskr全部伪装Windows Defender、IE更新类系统程序，文件名、服务名和正常组件高度相似，不能只靠名字做白名单，必须校验文件哈希、数字签名。
盲区3：只防范单一APT团伙，忽略团伙之间权限转手协同作战
入侵不一定从头到尾由同一个团伙完成。间谍APT负责钓鱼打洞、潜伏摸底，后续把权限交接给另一支专门做破坏的团伙。发现入侵不等于风险结束，必须预判后续可能出现的数据擦除、勒索行为。
五、安全团队威胁狩猎&加固落地清单
🔍威胁狩猎重点告警
1. 监控可疑Windows服务名称：`ieupdate`；进程名 `windowsdefendersvc.exe`、`updater.exe`、`krbtman.exe`，校验文件数字签名与原始哈希。
2. 监测主机异常接入Yggdrasil网络特征：出现该网络特有的`200::/7`段IPv6地址；进程连接Yggdrasil公开对等节点TLS/QUIC地址。
3. 监测二进制落地带`.`开头隐藏配置文件：`.updatecache`；同时注意Windows环境出现类Unix路径分隔符`%LocalAppData%/Temp/.crond`，是后门重要痕迹。
4. 监控系统内未经业务允许，出现反向SOCKS5代理行为；监控AD组策略异常推送SDelete等文件擦除工具。
5. PowerShell、计划任务异常启动延迟联网行为，程序启动后延迟数分钟才发起对外网络连接。
🛡️边界与终端加固
1. 如业务无需求，内网终端严格禁止访问Yggdrasil相关对等节点，防火墙阻断报告给出的全部对等节点地址；
2. EDR开启行为检测，不要只依赖样本哈希查杀，重点监控：不明来源程序注册伪装系统服务、未知程序启动SOCKS代理隧道；
3. 高价值物流、能源、制造业，针对鱼叉钓鱼附件强化防护；开启AD域组策略变更审计，监控异常批量推送可执行文件行为；
4. 定期关键业务数据离线异地备份，抵御SDelete这类数据擦除工具带来毁灭性损失。
🚨应急处置提示
如果环境检出MythicRatatoskr相关IOC，不要仅仅删除恶意二进制就结案。
该攻击代表内网已经被APT长期控制，极有可能发生过团伙权限移交。必须完成全内网狩猎，排查横向移动痕迹，评估是否存在后续数据销毁风险，同步全部域管理员、本地管理员密码。
六、安全思考
MythicRatatoskr这起攻击给行业带来两个非常重要的警示：
1. C2基础设施正在走向去中心化。APT不再局限普通域名、公网IP，开始大量复用Yggdrasil这类实验型网状网络，传统黑名单拦截手段持续失效，安全检测必须向行为、链路、进程关系转变。
2. 国家级APT团伙已经出现流水线分工作战模式：一部分团伙专门负责突破入口、潜伏侦察，完成之后把访问权限转手给其他执行破坏、勒索任务的团伙。
一次入侵事件，攻击者可能不是同一批人。发现入侵，只是风险的开始，而不是结束。
文末互动
你们安全运营中有没有见过恶意软件使用非传统去中心化网络做C2？如何看待APT团伙分工“接单式”攻击模式？欢迎评论区交流。
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。