ESET, yıkıcı atakta kullanılan yeni bir arka kapı keşfetti

0

BEĞENDİM

ABONE OL

News

0

Siber güvenlik şirketi ESET, Ukraynalı bir tahıl şirketine yönelik yıkıcı bir siber akının önünü açan MythicRatatoskr isimli ziyanlı yazılımı ortaya çıkardı. Siber saldırganların sisteme uzaktan erişmesini sağlayan bu yazılım, saldırıyı yönettikleri sunucuyu gizlemek için Yggdrasil adlı özel bir ağ teknolojisinden yararlanıyor. Rusya yanlısı UAC-0099 grubu şirkete birinci erişimi sağladıktan sonra denetimi tekrar Rusya yanlısı Sandworm kümesine devretti. Sandworm ise taarruzun devamında şirketin bilgilerini silerek sistemlerine ziyan verdi.

Yayımlanan raporda belgelenen bu periyot teslim birinci değil: ESET Research, 2025 yılında da Rusya yanlısı Gamaredon’un, yeniden Rusya yanlısı bir tehdit aktörü olan Turla ile iş birliği yaptığını ortaya çıkarmıştı. Sandworm, GRU’nun 74455 numaralı ünitesiyle ilişkilendiriliyor. ESET, bilinen hedefleme örüntülerini göz önünde bulundurarak UAC-0099’un da Rusya’nın çıkarlarıyla uyumlu hareket ettiğini kıymetlendiriyor. ESET ayrıyeten UAC-0099’un Sandworm için ilk erişim grubu olarak faaliyet gösterebileceği görüşünde.

Saldırıyı inceleyen ESET araştırmacısı Anton Cherepanov  yaptığı açıklamada şunları söyledi: “UAC-0099, 16 Temmuz 2025’te Ukrayna’daki bir tahıl lojistik şirketine, ziyanlı ek içeren bir amaçlı kimlik avı (spear phishing) e-postası aracılığıyla birinci erişimi sağladı. Bu e-posta, MATCHWOK arka kapısının yürütme zincirini tetikledi. Bir gün sonra saldırganlar, Yggdrasil mesh ağı içinde barındırılan bir komuta ve denetim sunucusuyla irtibat kuran MythicRatatoskr’ı devreye aldı. Bu arka kapının diğer hiçbir yerde kullanıldığını görmedik; ayrıyeten bir Linux varyantının da bulunabileceğine dair işaretler tespit ettik. Yggdrasil, deneysel bir yönlendirme şeması kullanan merkeziyetsiz bir mesh ağı; düğümler arasındaki IPv6 iletişimi uçtan uca korunur. 

MythicRatatoskr’ı Cherepanov ile keşfeden ESET araştırmacısı Peter Strýček ise şu açıklamayı yaptı: “‘Yggdrasil’, İskandinav mitolojisinde kozmosun farklı âlemlerini birbirine bağlayan kutsal ağacın ismi. Bu ağaçta, tepesi ile kökleri arasında bildiri taşıyan Ratatoskr isminde bir sincap yaşar. Arka kapı Yggdrasil ağında koşuşturan bir haberci rolü üstlendiği için ona MythicRatatoskr ismini verdik.”

Sızma sonrası yürütme zinciri, daha evvel UAC-0099’la ilişkilendirilen iki ziyanlı yazılıma, MATCHBOIL indiricisine ve MATCHWOK arka kapısına dayanıyordu. Bu sebeple ESET, akının bu etabını UAC-0099’a atfediyor. ESET araştırmacıları, iki ay sonra gözlemlenen bilgi silme faaliyetini ise kullanılan TTP’lere (taktik, teknik ve prosedürler) dayanarak Sandworm’la ilişkilendiriyor. ESET telemetrisi, UAC-0099’un elde ettiği birinci erişimin daha sonra yıkıcı Sandworm operasyonunda kullanıldığını gösteriyor.

MythicRatatoskr; komut çalıştırma, belge sisteminde gezinme, evrak transferi, ekran manzarası alma ve proxy üzere standart arka kapı fonksiyonlarını destekliyor. Arka kapı büyük olasılıkla, ilişkileri ele geçirilen ağ üzerinden yönlendiren bir SOCKS5 sunucusu kurmak için kullanıldı. UAC-0099, sırf Ukrayna’daki devlet kurumlarını, finans ve medya kuruluşlarını gaye alan bir siber casusluk kümesidir. ESET, hedefleme örüntülerine dayanarak kümenin Rusya’nın çıkarlarıyla uyumlu olduğunu düşünüyor. Sandworm ise yıkıcı akınlar gerçekleştiren Rusya yanlısı bir tehdit kümesidir.

ESET Research, MythicRatatoskr’a ait bulgularını 18 Eylül 2026’da LABScon’da ve 16 Ekim 2026’da Virus Bulletin konferansında sundu.

Kaynak: (BYZHA) Beyaz Haber Ajansı