Rusya bağlantılı hacker grupları Ukrayna’da veri silme saldırısı düzenledi
Ukrayna’daki bir tahıl lojistik şirketine yönelik siber saldırıda Rusya yanlısı UAC-0099 ve Sandworm gruplarının birlikte hareket ettiği ortaya çıktı. ESET araştırmacıları, saldırganların sistemlere sızmak ve uzaktan erişim sağlamak için kullandığı MythicRatatoskr adlı yeni bir arka kapı yazılımı keşfetti. İlk erişimin ardından kontrolü devralan Sandworm’un şirketin verilerini silerek sistemlerine zarar verdiği belirlendi.
Siber güvenlik şirketi ESET’in araştırmasına göre saldırı, iki farklı tehdit grubunun görev paylaşımı yaptığı bir operasyon olarak gerçekleştirildi. Ukrayna’daki hedef şirkete ilk erişimi UAC-0099 grubu sağlarken, sonraki aşamada devreye giren Sandworm veri silme faaliyetlerini yürüttü.
ESET’in bulguları, Rusya bağlantılı siber saldırılarda ilk erişimi sağlayan gruplarla yıkıcı operasyonları gerçekleştiren grupların birlikte çalışabildiğini gösteriyor.
Saldırı hedefli kimlik avı e-postasıyla başladı
ESET araştırmacısı Anton Cherepanov’un aktardığı bilgilere göre UAC-0099, 16 Temmuz 2025’te Ukrayna’daki bir tahıl lojistik şirketine zararlı dosya içeren hedefli bir kimlik avı e-postası gönderdi. E-postayla birlikte sisteme sızan saldırganlar, MATCHWOK adlı arka kapı yazılımının çalışmasını sağlayan süreci başlattı.
Bir gün sonra saldırganlar, MythicRatatoskr adlı yeni bir arka kapıyı devreye aldı. Yazılım, saldırganların ele geçirilen sistemlere uzaktan erişmesine ve komutlar çalıştırmasına imkân tanıyordu.
MythicRatatoskr’ın dikkat çeken özelliklerinden biri, saldırganların kullandığı komuta ve kontrol sunucusunun konumunu gizlemek için Yggdrasil adlı merkeziyetsiz ağ teknolojisinden yararlanması oldu. IPv6 tabanlı iletişim ve uçtan uca koruma sağlayan bu ağ yapısı, saldırganların altyapısının tespit edilmesini zorlaştırabilecek özellikler taşıyor.
Yeni zararlı yazılım uzaktan erişim sağlıyor
ESET araştırmacılarının keşfettiği MythicRatatoskr, standart bir arka kapı yazılımından beklenen birçok işlevi destekliyor. Bunlar arasında komut çalıştırma, dosya sisteminde gezinme, dosya gönderme ve alma, ekran görüntüsü yakalama ve proxy bağlantıları oluşturma bulunuyor.
Araştırmacılar, zararlı yazılımın ele geçirilen ağ üzerinden bağlantı yönlendirmek amacıyla SOCKS5 sunucusu kurmak için de kullanılmış olabileceğini değerlendiriyor.
ESET, MythicRatatoskr’ın şu ana kadar başka saldırılarda kullanıldığına ilişkin bir bulguya rastlamadı. Bununla birlikte araştırmacılar, zararlı yazılımın Linux sürümünün de bulunabileceğine işaret eden izler tespit etti.
Yazılımın adı da kullandığı ağ teknolojisinden geliyor. İskandinav mitolojisinde farklı dünyaları birbirine bağlayan Yggdrasil ağacında yaşayan Ratatoskr adlı sincap, ağacın tepesi ile kökleri arasında mesaj taşıyor. Araştırmacılar, zararlı yazılımın Yggdrasil ağı içindeki rolünden hareketle MythicRatatoskr adını verdi.
Saldırının ikinci aşamasında Sandworm devreye girdi
ESET, saldırının ilk aşamasında kullanılan MATCHBOIL indiricisi ve MATCHWOK arka kapısının daha önce UAC-0099 ile ilişkilendirildiğini belirtiyor. Bu nedenle sisteme ilk sızma aşaması bu gruba atfediliyor.
Yaklaşık iki ay sonra gerçekleşen veri silme faaliyetleri ise kullanılan saldırı teknikleri ve yöntemler nedeniyle Sandworm ile ilişkilendirildi. ESET’in telemetri verileri, UAC-0099 tarafından sağlanan ilk erişimin daha sonra Sandworm’un yıkıcı operasyonunda kullanıldığını ortaya koyuyor.
Rusya’nın askeri istihbarat servisi GRU’nun 74455 numaralı birimiyle ilişkilendirilen Sandworm, daha önce de Ukrayna’ya yönelik yıkıcı siber saldırılarla gündeme gelmişti. ESET, UAC-0099’un hedefleme örüntülerini dikkate alarak grubun Rusya’nın çıkarlarıyla uyumlu hareket ettiğini değerlendiriyor. Şirket, bu grubun Sandworm için ilk erişimi sağlayan bir yapı olarak faaliyet gösterdiği görüşünde.
Bu tür iş birliklerinin daha önce de gözlemlendiğine dikkat çeken ESET, 2025 yılında Rusya yanlısı Gamaredon grubunun Turla ile iş birliği yaptığına ilişkin bulgularını da paylaşmıştı.
ESET Research araştırmacıları, MythicRatatoskr hakkındaki teknik bulgularını 18 Eylül 2026’da LABScon’da, 16 Ekim 2026’da ise Virus Bulletin konferansında sundu.
