Güvenlik uzmanları, Ukraynalı bir tahıl şirketine yönelik yıkıcı bir siber saldırının önünü açan MythicRatatoskr adlı zararlı yazılımı ortaya çıkardı. Siber saldırganların sisteme uzaktan erişmesini sağlayan bu yazılım, saldırıyı yönettikleri sunucuyu gizlemek için Yggdrasil adlı özel bir ağ teknolojisinden yararlanıyor.
Güvenlik uzmanları, 2025 yılında da Rusya yanlısı Gamaredon’un, yine Rusya yanlısı bir tehdit aktörü olan Turla ile iş birliği yaptığını ortaya çıkarmıştı. Sandworm, GRU’nun 74455 numaralı birimiyle ilişkilendiriliyor. Uzmanlar, bilinen hedefleme örüntülerini göz önünde bulundurarak UAC-0099’un da Rusya’nın çıkarlarıyla uyumlu hareket ettiğini değerlendiriyor. Uzmanlar ayrıca UAC-0099’un Sandworm için ilk erişim grubu olarak faaliyet gösterebileceği görüşünde.
Saldırıyı inceleyen araştırmacı Anton Cherepanov yaptığı açıklamada şunları söyledi: “UAC-0099, 16 Temmuz 2025’te Ukrayna’daki bir tahıl lojistik şirketine, zararlı ek içeren bir hedefli kimlik avı (spear phishing) e-postası aracılığıyla ilk erişimi sağladı. Bu e-posta, MATCHWOK arka kapısının yürütme zincirini tetikledi. Bir gün sonra saldırganlar, Yggdrasil mesh ağı içinde barındırılan bir komuta ve kontrol sunucusuyla iletişim kuran MythicRatatoskr’ı devreye aldı. Bu arka kapının başka hiçbir yerde kullanıldığını görmedik; ayrıca bir Linux varyantının da bulunabileceğine dair işaretler tespit ettik. Yggdrasil, deneysel bir yönlendirme şeması kullanan merkeziyetsiz bir mesh ağı; düğümler arasındaki IPv6 iletişimi uçtan uca korunur.
MythicRatatoskr’ı Cherepanov ile keşfeden araştırmacı Peter Strýček ise şu açıklamayı yaptı: “‘Yggdrasil’, İskandinav mitolojisinde evrenin farklı âlemlerini birbirine bağlayan kutsal ağacın adı. Bu ağaçta, tepesi ile kökleri arasında mesaj taşıyan Ratatoskr adında bir sincap yaşar. Arka kapı Yggdrasil ağında koşuşturan bir haberci rolü üstlendiği için ona MythicRatatoskr adını verdik.”
Sızma sonrası yürütme zinciri, daha önce UAC-0099’la ilişkilendirilen iki zararlı yazılıma, MATCHBOIL indiricisine ve MATCHWOK arka kapısına dayanıyordu. Bu nedenle uzmanlar, saldırının bu aşamasını UAC-0099’a atfediyor. Güvenlik araştırmacıları, iki ay sonra gözlemlenen veri silme faaliyetini ise kullanılan TTP’lere (taktik, teknik ve prosedürler) dayanarak Sandworm’la ilişkilendiriyor. Güvenlik telemetrisi, UAC-0099’un elde ettiği ilk erişimin daha sonra yıkıcı Sandworm operasyonunda kullanıldığını gösteriyor.
MythicRatatoskr; komut çalıştırma, dosya sisteminde gezinme, dosya aktarımı, ekran görüntüsü alma ve proxy gibi standart arka kapı işlevlerini destekliyor. Arka kapı büyük olasılıkla, bağlantıları ele geçirilen ağ üzerinden yönlendiren bir SOCKS5 sunucusu kurmak için kullanıldı. UAC-0099, yalnızca Ukrayna’daki devlet kurumlarını, finans ve medya kuruluşlarını hedef alan bir siber casusluk grubudur. Güvenlik uzmanları, hedefleme örüntülerine dayanarak grubun Rusya’nın çıkarlarıyla uyumlu olduğunu düşünüyor. Sandworm ise yıkıcı saldırılar gerçekleştiren Rusya yanlısı bir tehdit grubudur.
Samsung Galaxy Z Fold9, Ekran Altı Kamera Teknolojisiyle iPhone Duo’ya Rakip Olmaya Hazırlanıyor
