Güvenlik uzmanları, Ukrayna’daki bir tahıl lojistik şirketini hedef alan siber saldırıda kullanılan MythicRatatoskr adlı yeni bir arka kapı keşfetti. Uzmanların değerlendirmesine göre zararlı yazılım, daha sonra gerçekleşen yıkıcı saldırının önünü açan erişim zincirinin parçası oldu.
UAC-0099 adlı tehdit aktörü, 16 Temmuz 2025’te şirkete zararlı ek içeren hedefli bir kimlik avı e-postası gönderdi. E-postayla başlayan süreç, daha önce bu grupla ilişkilendirilen MATCHWOK arka kapısının çalıştırılmasını sağladı. Ertesi gün saldırganlar, MythicRatatoskr’ı devreye soktu.
Yeni arka kapı, Yggdrasil mesh ağı içinde barındırılan bir komuta ve kontrol sunucusuyla iletişim kurdu. Yggdrasil, merkeziyetsiz bir ağ yapısı kullanıyor; düğümler arasındaki IPv6 iletişimi uçtan uca korunuyor. Araştırmacılar, MythicRatatoskr’ın başka bir saldırıda kullanıldığına rastlamadıklarını, ancak Linux sürümünün de bulunabileceğine dair işaretler gördüklerini belirtti.
MythicRatatoskr; komut çalıştırma, dosya sisteminde gezinme ve dosya aktarımının yanı sıra ekran görüntüsü alma ve proxy işlevlerini destekliyor. Uzmanlar, zararlı yazılımın ele geçirilen ağ üzerinden bağlantı yönlendirecek bir SOCKS5 sunucusu kurmak amacıyla kullanılmış olabileceğini değerlendiriyor.
Saldırganların ilk erişimden sonraki faaliyetlerinde MATCHBOIL indiricisi ve MATCHWOK arka kapısı da yer aldı. Bu araçların daha önce UAC-0099 ile ilişkilendirilmesi nedeniyle uzmanlar, saldırının ilk aşamasını bu gruba atfediyor. Güvenlik telemetrisi ise elde edilen erişimin daha sonra yıkıcı bir operasyonda kullanıldığını gösteriyor.
İlk erişimden yaklaşık iki ay sonra gözlemlenen veri silme faaliyetleri, kullanılan taktik, teknik ve prosedürler temelinde Sandworm ile ilişkilendirildi. Sandworm’un Rusya’nın askeri istihbarat servisi GRU’nun 74455 numaralı birimiyle bağlantılı olduğu belirtiliyor. Uzmanlar, UAC-0099’un hedefleme örüntülerinin Rusya’nın çıkarlarıyla uyumlu olduğunu ve grubun Sandworm için ilk erişim sağlayan bir yapı olarak çalışmış olabileceğini düşünüyor.
UAC-0099’un daha önce Ukrayna’daki devlet kurumları ile finans ve medya kuruluşlarını hedef aldığı bildiriliyor. Uzmanların değerlendirmesine göre bu vakada da grubun sağladığı ilk erişim, daha sonraki yıkıcı Sandworm operasyonunda kullanıldı.
Yorumlar