ESET, Ukrayna’daki yıkıcı saldırıda kullanılan yeni arka kapıyı ifşa etti

Kötü amaçlı yazılım dünyasında yeni bir tehdit ortaya çıktı. Siber güvenlik şirketi ESET, Ukraynalı bir tahıl şirketine yönelik yıkıcı bir saldırıda kullanılan MythicRatatoskr adlı yeni bir arka kapıyı keşfetti. Yazılım, saldırganların hedef sisteme uzaktan erişmesine imkân tanıyor.

Saldırının arka planı

Rusya yanlısı UAC-0099 grubu, şirkete ilk erişimi sağladıktan sonra kontrolü Rusya yanlısı Sandworm grubuna devretti. Sandworm, saldırının ilerleyen aşamalarında şirketin verilerini silerek sistemlerine zarar verdi. Zararlı yazılım, saldırıyı yönetilen sunucuyu gizlemek için Yggdrasil adlı özel bir ağ teknolojisinden yararlanıyor.

Bilinen bir örüntü

ESET’in yayımladığı rapora göre bu tür bir devir teslim daha önce de görülmüştü. ESET Research, 2025 yılında Rusya yanlısı Gamaredon grubunun, bir başka Rusya yanlısı tehdit aktörü Turla ile iş birliği yaptığını ortaya koymuştu. Sandworm, GRU’nun 74455 numaralı birimiyle ilişkilendiriliyor. ESET, bilinen hedefleme örüntülerini dikkate alarak UAC-0099’un da Rusya’nın çıkarlarıyla uyumlu hareket ettiğini değerlendiriyor ve grubun Sandworm için ilk erişim ekibi olarak çalışmış olabileceğini belirtiyor.

Saldırının seyri

ESET araştırmacısı Anton Cherepanov, olayın kronolojisini şöyle anlattı: “UAC-0099, 16 Temmuz 2025’te Ukrayna’daki bir tahıl lojistik şirketine, zararlı ek içeren hedefli bir kimlik avı (spear phishing) e-postasıyla ilk erişimi sağladı. Bu e-posta, MATCHWOK arka kapısının yürütme zincirini tetikledi. Bir gün sonra saldırganlar, Yggdrasil mesh ağı içinde barındırılan bir komuta ve kontrol sunucusuyla iletişim kuran MythicRatatoskr‘ı devreye aldı. Bu arka kapıyı başka hiçbir yerde görmedik, ancak bir Linux varyantının bulunabileceğine dair işaretler tespit ettik. Yggdrasil, deneysel bir yönlendirme şeması kullanan merkeziyetsiz bir mesh ağı; düğümler arasındaki IPv6 iletişimi uçtan uca korunuyor.”

Adın kökeni

MythicRatatoskr’ı Cherepanov ile birlikte keşfeden ESET araştırmacısı Peter Strýček, adın arkasındaki hikâyeyi paylaştı: “Yggdrasil, İskandinav mitolojisinde evrenin farklı âlemlerini birbirine bağlayan kutsal ağacın adı. Bu ağaçta, tepesi ile kökleri arasında mesaj taşıyan Ratatoskr adında bir sincap yaşar. Arka kapı, Yggdrasil ağında koşuşturan bir haberci rolü üstlendiği için ona bu adı verdik.”

Teknik detaylar

Sızma sonrasında kullanılan yürütme zinciri, daha önce UAC-0099‘la ilişkilendirilen iki zararlı yazılıma, MATCHBOIL indiricisine ve MATCHWOK arka kapısına dayanıyordu. Bu nedenle ESET, saldırının bu aşamasını UAC-0099‘a atfediyor. İki ay sonra gözlemlenen veri silme faaliyetini ise kullanılan taktik, teknik ve prosedürlere (TTP) dayanarak Sandworm‘la ilişkilendiriyor. ESET telemetrisi, UAC-0099‘un elde ettiği ilk erişimin daha sonra yıkıcı Sandworm operasyonunda kullanıldığını gösteriyor.

Yeteneklerin neler?

MythicRatatoskr, komut çalıştırma, dosya sisteminde gezinme, dosya aktarımı, ekran görüntüsü alma ve proxy gibi standart arka kapı işlevlerini destekliyor. Arka kapının, ele geçirilen ağ üzerinden bağlantıları yönlendiren bir SOCKS5 sunucusu kurmak için kullanılmış olması büyük olasılık taşıyor.

Hedef grup

UAC-0099, yalnızca Ukrayna’daki devlet kurumlarını, finans ve medya kuruluşlarını hedef alan bir siber casusluk grubu olarak tanımlanıyor. ESET, hedefleme örüntülerine dayanarak grubun Rusya’nın çıkarlarıyla uyumlu olduğunu düşünüyor. Sandworm ise yıkıcı saldırılar gerçekleştiren Rusya yanlısı bir tehdit grubu olarak biliniyor.

Sunum takvimi

ESET Research, MythicRatatoskr üzerine bulgularını 18 Eylül 2026’da LABScon ve 16 Ekim 2026’da Virus Bulletin konferansında sundu.