Siber güvenlik şirketi ESET, Rusya yanlısı UAC-0099 APT grubu tarafından kullanılan özel bir C# indirici olan MATCHBOIL berbat emelli yazılımının evrimini belgeledi. Bu berbat maksatlı yazılım, kümenin C&C sunucusundan bir yük indirmek, onu yüklemek ve kalıcılığını sağlamak için kullanılıyor. ESET’in telemetri datalarında tespit ettiği kurbanlar, Ukrayna’da çeşitli kesimlerde faaliyet gösteriyor.
UAC-0099, Ukrayna’daki devlet kurumlarını, finans kuruluşlarını ve medya kuruluşlarını gaye alan bir siber casusluk kümesi. Hedefleme kriterlerine dayanarak ESET, kümenin Rus çıkarlarıyla uyumlu olduğunu; UAC-0099’un, Ukrayna’daki yıkıcı taarruzlarıyla tanınan ve yeniden Rusya ile uyumlu bir öteki küme olan Sandworm için birinci erişim aracısı olarak hareket edebileceğini düşünüyor.
MATCHBOIL’i tahlil eden ESET araştırmacısı Fernando Tavella yaptığı açıklamada şunları paylaştı: “Kötü hedefli yazılım, maksatlı oltalama e-postalarındaki berbat emelli irtibatlar aracılığıyla dağıtılıyor. İrtibata tıklandığında, kurbanın bilgisayarına MATCHBOIL’i indirip çalıştıran bir VBScript evrakı yükü içeren bir arşiv belgesi indirilir. MATCHBOIL, tek seferlik bir indiriciden her iki dakikada bir C&C sunucusuyla irtibat kurabilen bir indiriciye dönüşmüştür; 2025 yılının sonlarında UAC-0099, kullanıcı yükü çalıştırdığında görünen bir grafik kullanıcı arayüzü eklemiştir. Bu arayüz, 2026 yılının başlarında daha az dikkat çeken bir versiyona dönüştürülmüştür.”
UAC-0099, C&C sunucularını barındırmak için BitLaunch üzere sanal özel sunucuları ve bunları gizlemek için Cloudflare üzere bulut hizmetlerini kullanıyor. Bu sunucular hem HTTP hem de HTTPS kullanıyor.
MATCHBOIL, birinci olarak Ağustos 2025’te CERT-UA tarafından belgelenmiş olsa da ESET araştırmaları, yazılımın en azından 2024 yılından beri geliştirilmekte olduğunu gösteriyor. ESET Araştırma takımının tahlil ettiği berbat gayeli yazılımın en eski sürümleri Nisan 2024’e, en yenileri ise Nisan 2026’ya aittir; indiricinin her yeni sürümü bir evvelkinden daha gelişmiştir. ESET’in telemetri datalarında tespit ettiği MATCHBOIL siber casusluk taarruzlarının tüm kurbanları, Ukrayna’da çeşitli dallarda faaliyet gösteren kuruluşlardı. Temmuz-Ağustos 2025 arasında ESET, birçok ulaştırma şirketinde bu indiricinin örneklerini tespit etti. Tıpkı yılın Aralık ayında ise bir imalat şirketinde görüldü. Daha sonra, Haziran 2026’da ESET telemetri dataları, bu sefer güç bölümündeki bir şirkette yeni MATCHBOIL örneklerini kaydetti.
ESET Research’ün Nisan 2024’ten Nisan 2026’ya kadar MATCHBOIL örnekleri üzerinde yaptığı inceleme, kod seviyesindeki yapıdan .NET Reactor gizleme aracının kullanımına kadar birçok değişikliği ortaya çıkardı; bunların tümü nispeten kısa bir müddette hayata geçirildi. Bu durum, UAC-0099 operatörlerinin indirme aracını geliştirmeye büyük ilgi duyduklarını göstermektedir; bu ilgi, yalnızca güvenlik tahlilleri tarafından tespit edilmekten kaçınmakla kalmayıp, gelecekteki akınlarda araç setlerinin kıymetli bir kesimi olarak kullanmak hedefiyle da ortaya çıkmaktadır.
Kaynak: (BYZHA) Beyaz Haber Ajansı
