Siber güvenlik alanında faaliyet gösteren ESET şirketi, Ukrayna’daki bir tahıl lojistik firmasına yönelik gerçekleştirilen ve ciddi hasarlara yol açan siber saldırının teknik detaylarını paylaştı. Araştırma sonuçlarına göre, saldırganlar sisteme izinsiz girmek için MythicRatatoskr olarak adlandırılan yeni nesil bir arka kapı yazılımından yararlandı. Bu zararlı yazılımın temel özelliği, operasyonel gizliliği artırmak amacıyla Yggdrasil adlı özel bir mesh ağ teknolojisini kullanmasıdır. Söz konusu ağ yapısı, komuta ve kontrol sunucularının kimliğinin maskelemesini sağlayarak saldırganların tespit edilme riskini azaltmayı hedefliyor.
Gruplar Arası İş Birliği ve Operasyon Zinciri
Saldırının kurgusu, farklı Rus yanlısı tehdit aktörleri arasında yapılan iş birliğini de gözler önüne seriyor. İlk aşamada UAC-0099 olarak bilinen grup, 16 Temmuz 2025 tarihinde hedef şirketin çalışanlarına yönelik gerçekleştirdiği hedefli kimlik avı (spear phishing) e-postası ile sisteme ilk erişimi sağladı. Bu e-posta, MATCHWOK adlı arka kapının yüklenmesini tetikleyen bir yürütme zincirini başlattı. ESET’in değerlendirmesine göre UAC-0099 grubu, genellikle Ukrayna’daki devlet kurumları, finans sektörü ve medya kuruluşlarını hedef alan bir siber casusluk ekibidir ve faaliyetlerinin Rusya’nın çıkarlarıyla uyumlu olduğu düşünülüyor.
İlk erişimin ardından kontrol, Sandworm olarak bilinen başka bir Rus yanlısı gruba devredildi. Sandworm grubu, GRU’nun 74455 numaralı birimiyle ilişkilendiriliyor ve daha çok yıkıcı nitelikteki saldırılarla tanınıyor. ESET araştırmacıları, iki ay sonra gerçekleşen veri silme faaliyetlerinin Taktik, Teknik ve Prosedür (TTP) analizlerine dayanarak doğrudan Sandworm’a atfedildiğini belirtiyor. Bu durum, UAC-0099’un Sandworm için bir 'ilk erişim' (initial access) grubu olarak hareket ettiğini düşündürüyor. Benzer iş birliği örneklerinin geçmişte Gamaredon ve Turla grupları arasında da görüldüğüne dikkat çekiliyor.
MythicRatatoskr ve Yggdrasil Ağ Teknolojisi
ESET araştırmacıları Anton Cherepanov ve Peter Strýček tarafından keşfedilen MythicRatatoskr, standart arka kapı fonksiyonlarının yanı sıra gelişmiş özellikler sunuyor. Yazılım; komut çalıştırma, dosya sistemi gezintisi, dosya transferi, ekran görüntüsü alma ve proxy hizmetleri gibi yeteneklere sahip. Özellikle SOCKS5 sunucusu kurarak bağlantıları ele geçirilen ağ üzerinden yönlendirmesi, saldırganlara derinlemesine sızma imkanı tanıdı. Yazılıma bu ismin verilmesinin nedeni, İskandinav mitolojisindeki evrensel ağaç Yggdrasil’de haberci olarak görev yapan sincap Ratatoskr’tan esinlenilmesidir.
Yggdrail ağı, merkeziyetsiz bir yapıda olup düğümler arasındaki IPv6 iletişimini uçtan uca şifreleyerek koruma altına alıyor. Deneysel bir yönlendirme şeması kullanan bu ağ, geleneksel komuta kontrol altyapılarından farklılaşarak tespit edilmeyi zorlaştırıyor. Ayrıca araştırmacılar, MythicRatatoskr’ın Linux tabanlı bir varyantının da bulunabileceğine dair ipuçları elde ettiklerini belirtti. Buluntular, 18 Eylül 2026 tarihinde LABScon ve 16 Ekim 2026 tarihli Virus Bulletin konferanslarında kamuoyuyla paylaşılacak.
