Yıkıcı saldırıda kullanılan yeni bir arka kapı keşfedildi

Güvenlik uzmanları, Ukraynalı bir tahıl şirketine yönelik yıkıcı bir siber saldırının önünü açan MythicRatatoskr adlı zararlı yazılımı ortaya çıkardı.

Güvenlik uzmanları, 2025 yılında da Rusya yanlısı Gamaredon’un, yine Rusya yanlısı bir tehdit aktörü olan Turla ile iş birliği yaptığını ortaya çıkarmıştı. Sandworm, GRU’nun 74455 numaralı birimiyle ilişkilendiriliyor. Uzmanlar, bilinen hedefleme örüntülerini göz önünde bulundurarak UAC-0099’un da Rusya’nın çıkarlarıyla uyumlu hareket ettiğini değerlendiriyor. Uzmanlar ayrıca UAC-0099’un Sandworm için ilk erişim grubu olarak faaliyet gösterebileceği görüşünde.

UAC-0099, 16 Temmuz 2025’te Ukrayna’daki bir tahıl lojistik şirketine, zararlı ek içeren bir hedefli kimlik avı (spear phishing) e-postası aracılığıyla ilk erişimi sağladı. Bu e-posta, MATCHWOK arka kapısının yürütme zincirini tetikledi. Bir gün sonra saldırganlar, Yggdrasil mesh ağı içinde barındırılan bir komuta ve kontrol sunucusuyla iletişim kuran MythicRatatoskr’ı devreye aldı. Bu arka kapının başka hiçbir yerde kullanıldığını görmedik; ayrıca bir Linux varyantının da bulunabileceğine dair işaretler tespit ettik. Yggdrasil, deneysel bir yönlendirme şeması kullanan merkeziyetsiz bir mesh ağı; düğümler arasındaki IPv6 iletişimi uçtan uca korunur.

Sızma sonrası yürütme zinciri, daha önce UAC-0099’la ilişkilendirilen iki zararlı yazılıma, MATCHBOIL indiricisine ve MATCHWOK arka kapısına dayanıyordu. Bu nedenle uzmanlar, saldırının bu aşamasını UAC-0099’a atfediyor. Güvenlik  araştırmacıları, iki ay sonra gözlemlenen veri silme faaliyetini ise kullanılan TTP’lere (taktik, teknik ve prosedürler) dayanarak Sandworm’la ilişkilendiriyor. Güvenlik telemetrisi, UAC-0099’un elde ettiği ilk erişimin daha sonra yıkıcı Sandworm operasyonunda kullanıldığını gösteriyor.

 MythicRatatoskr; komut çalıştırma, dosya sisteminde gezinme, dosya aktarımı, ekran görüntüsü alma ve proxy gibi standart arka kapı işlevlerini destekliyor. Arka kapı büyük olasılıkla, bağlantıları ele geçirilen ağ üzerinden yönlendiren bir SOCKS5 sunucusu kurmak için kullanıldı. UAC-0099, yalnızca Ukrayna’daki devlet kurumlarını, finans ve medya kuruluşlarını hedef alan bir siber casusluk grubudur. Güvenlik uzmanları, hedefleme örüntülerine dayanarak grubun Rusya’nın çıkarlarıyla uyumlu olduğunu düşünüyor. Sandworm ise yıkıcı saldırılar gerçekleştiren Rusya yanlısı bir tehdit grubudur.