Siber güvenlik şirketi ESET, Ukraynalı bir tahıl şirketine yönelik yıkıcı bir siber hücumun önünü açan MythicRatatoskr isimli ziyanlı yazılımı ortaya çıkardı. Siber saldırganların sisteme uzaktan erişmesini sağlayan bu yazılım, saldırıyı yönettikleri sunucuyu gizlemek için Yggdrasil adlı özel bir ağ teknolojisinden yararlanıyor. Rusya yanlısı UAC-0099 grubu şirkete birinci erişimi sağladıktan sonra denetimi tekrar Rusya yanlısı Sandworm kümesine devretti. Sandworm ise taarruzun devamında şirketin bilgilerini silerek sistemlerine ziyan verdi.
Yayımlanan raporda belgelenen bu zaman teslim birinci değil: ESET Research, 2025 yılında da Rusya yanlısı Gamaredon’un, yeniden Rusya yanlısı bir tehdit aktörü olan Turla ile iş birliği yaptığını ortaya çıkarmıştı. Sandworm, GRU’nun 74455 numaralı ünitesiyle ilişkilendiriliyor. ESET, bilinen hedefleme örüntülerini göz önünde bulundurarak UAC-0099’un da Rusya’nın çıkarlarıyla uyumlu hareket ettiğini pahalandırıyor. ESET ayrıyeten UAC-0099’un Sandworm için ilk erişim grubu olarak faaliyet gösterebileceği görüşünde.
Saldırıyı inceleyen ESET araştırmacısı Anton Cherepanov yaptığı açıklamada şunları söyledi: “UAC-0099, 16 Temmuz 2025’te Ukrayna’daki bir tahıl lojistik şirketine, ziyanlı ek içeren bir amaçlı kimlik avı (spear phishing) e-postası aracılığıyla birinci erişimi sağladı. Bu e-posta, MATCHWOK arka kapısının yürütme zincirini tetikledi. Bir gün sonra saldırganlar, Yggdrasil mesh ağı içinde barındırılan bir komuta ve denetim sunucusuyla bağlantı kuran MythicRatatoskr’ı devreye aldı. Bu arka kapının öteki hiçbir yerde kullanıldığını görmedik; ayrıyeten bir Linux varyantının da bulunabileceğine dair işaretler tespit ettik. Yggdrasil, deneysel bir yönlendirme şeması kullanan merkeziyetsiz bir mesh ağı; düğümler arasındaki IPv6 iletişimi uçtan uca korunur.
MythicRatatoskr’ı Cherepanov ile keşfeden ESET araştırmacısı Peter Strýček ise şu açıklamayı yaptı: “‘Yggdrasil’, İskandinav mitolojisinde cihanın farklı âlemlerini birbirine bağlayan kutsal ağacın ismi. Bu ağaçta, tepesi ile kökleri arasında ileti taşıyan Ratatoskr isminde bir sincap yaşar. Arka kapı Yggdrasil ağında koşuşturan bir haberci rolü üstlendiği için ona MythicRatatoskr ismini verdik.”
Sızma sonrası yürütme zinciri, daha evvel UAC-0099’la ilişkilendirilen iki ziyanlı yazılıma, MATCHBOIL indiricisine ve MATCHWOK arka kapısına dayanıyordu. Bu sebeple ESET, hücumun bu basamağını UAC-0099’a atfediyor. ESET araştırmacıları, iki ay sonra gözlemlenen bilgi silme faaliyetini ise kullanılan TTP’lere (taktik, teknik ve prosedürler) dayanarak Sandworm’la ilişkilendiriyor. ESET telemetrisi, UAC-0099’un elde ettiği birinci erişimin daha sonra yıkıcı Sandworm operasyonunda kullanıldığını gösteriyor.
MythicRatatoskr; komut çalıştırma, belge sisteminde gezinme, belge transferi, ekran imgesi alma ve proxy üzere standart arka kapı fonksiyonlarını destekliyor. Arka kapı büyük olasılıkla, irtibatları ele geçirilen ağ üzerinden yönlendiren bir SOCKS5 sunucusu kurmak için kullanıldı. UAC-0099, sadece Ukrayna’daki devlet kurumlarını, finans ve medya kuruluşlarını amaç alan bir siber casusluk kümesidir. ESET, hedefleme örüntülerine dayanarak kümenin Rusya’nın çıkarlarıyla uyumlu olduğunu düşünüyor. Sandworm ise yıkıcı hücumlar gerçekleştiren Rusya yanlısı bir tehdit kümesidir.
ESET Research, MythicRatatoskr’a ait bulgularını 18 Eylül 2026’da LABScon’da ve 16 Ekim 2026’da Virus Bulletin konferansında sundu.
Kaynak: (BYZHA) Beyaz Haber Ajansı
