Rusya ile bağlantılı olduğu değerlendirilen UAC-0099 adlı gelişmiş kalıcı tehdit (APT) grubu, Ukrayna'da çeşitli sektörlerde faaliyet gösteren kurumları siber istihbarat toplamak amacıyla hedef almaya devam ediyor. Siber güvenlik analizi firması ESET'in yaptığı araştırmalar, bu grubun özel olarak geliştirdiği ve MATCHBOIL olarak adlandırdığı C# tabanlı bir indirici yazılımı aktif olarak kullandığını ortaya koydu. Bu kötü amaçlı yazılım, grup için komuta ve kontrol (C&C) sunucularından ikincil yükleri indirmek, sistemlere yerleştirmek ve erişimi uzun vadede sürdürülebilir kılmak için kritik bir araç haline gelmiştir.
Hedef Kitle ve Operasyonel Yapı
ESET'in telemetri verileri incelendiğinde, MATCHBOIL saldırılarının kurbanlarının Ukrayna merkezli olduğu ve bu ülkedeki farklı ekonomik alanlarda görev yapan kuruluşlar bulunduğu görülmektedir. UAC-0099 grubunun stratejik odak noktası; devlet daireleri, bankacılık ve finans sektörü ile medya organlarını içermektedir. Analistler, grubun operasyonel metodolojisinin ve hedefleme kriterlerinin Rus çıkarlarıyla büyük ölçüde örtüştüğünü belirtmektedir. Ayrıca, Ukrayna'da yıkıcı nitelikteki siber eylemlerle tanınan Sandworm grubu için UAC-0099'un ilk erişim sağlayıcısı (initial access broker) olarak hareket edebileceği ihtimali de değerlendirilmektedir.
Saldırıların teknik altyapısı oldukça sofistike düzeydedir. Grup, komuta ve kontrol sunucularını barındırmak amacıyla BitLaunch gibi sanal özel sunucu hizmetlerini kullanırken, bu varlıkların izini silmek veya gizlemek için Cloudflare benzeri bulut çözümlerinden faydalanmaktadır. Sunucular hem HTTP hem de HTTPS protokollerini destekleyerek trafiğin tespitini zorlaştırmayı amaçlamaktadır.
Zaman Çizelgesi ve Tehdit Evrimi
MATCHBOIL'in geliştirme süreci, ESET araştırmacılarının detaylı incelemeleriyle aydınlattı. Yazılımın en eski sürümleri Nisan 2024 tarihine kadar uzanırken, analiz edilen en yeni örnekler Nisan 2026'ya aittir. Bu süreçte her yeni versiyon, bir öncekinden daha karmaşık yapılar ve gelişmiş özellikler barındırmıştır. Örneğin, Ağustos 2025'te CERT-UA tarafından belgelenmesine rağmen, ESET'in verileri yazılımın 2024 yılından beri geliştirildiğini göstermektedir. Tehdit aktörleri, kod düzeyindeki değişikliklerden .NET Reactor gibi gizleme araçlarının entegrasyonuna kadar kısa sürede çok sayıda teknik güncelleme yapmıştır.
Saldiri dağıtım mekanizması genellikle oltalama (phishing) e-postaları üzerinden gerçekleşmektedir. Kurbanların kötü amaçlı bağlantıya tıklamasıyla birlikte, arşiv dosyası içindeki VBScript kodu devreye girerek MATCHBOIL'i sisteme indirir ve çalıştırır. Zaman içinde bu indirici, her iki dakikada bir C&C sunucusuyla iletişim kuran dinamik bir yapıya bürünmüştür. 2025 yılının sonlarında kullanıcı yükü çalıştırıldığında belirgin bir grafik arayüzü eklenirken, 2026'nin başlarında bu arayüz daha az dikkat çekici bir formata dönüştürülerek tespit riski azaltılmıştır.
Sektörel bazda incelediğimizde, Temmuz ve Ağustos 2025 arasında ulaştırma şirketlerinde, Aralık 2025'te imalat sektöründe ve Haziran 2026'da ise enerji sektöründeki bir şirkette MATCHBOIL örneklerine rastlanmıştır. UAC-0099 operatörlerinin bu indiriciye duyduğu yoğun ilgi, yalnızca güvenlik yazılımlarından kaçınmayı değil, gelecekteki operasyonlarda bu aracın temel bir bileşen olarak kullanılmasını hedeflediğini göstermektedir.
