Saldırı 16 Temmuz 2025’te, kötü amaçlı dosya içeren bir kimlik avı e-postasıyla başladı. ESET’e göre UAC-0099 grubu sisteme ilk erişimi sağladı ve Mythic Ratatoskr adlı özel uzaktan erişim programını kurdu. Yazılım, komut çalıştırma, dosyaları görüntüleme, ekran görüntüsü alma ve belgeleri dışarı aktarma işlevlerine sahipti.
Kontrol sunucusunun merkezi otoritesi bulunmayan Yggdrasil ağına yerleştirilmesinin faaliyetlerin tespitini zorlaştırdığı bildirildi. ESET, devletle bağlantılı bir siber tehdit grubunun bu ağı bu şekilde kullandığı ilk belgelenmiş vakanın söz konusu olduğunu açıkladı.
İlk sızmadan yaklaşık iki ay sonra ele geçirilen bilgisayarlardaki veriler silindi. Araştırmacılar bu yıkıcı aşamayı Sandworm grubuna ve silme işleminde kullanılan meşru Microsoft SDelete aracına bağladı. ESET, UAC-0099’un başlangıç erişiminin ardından kontrolü Sandworm’a devrettiğini belirtti; ancak iki aşama arasındaki dönemde Mythic Ratatoskr’ı hangi grubun yönettiği belirlenemedi.
