Ukrayna’daki bir tahıl lojistik şirketine yönelik siber saldırı, Rusya yanlısı iki tehdit grubu arasındaki olası iş birliğini gündeme getirdi. ESET tarafından yayımlanan araştırmaya göre UAC-0099 grubu, şirketin sistemlerine ilk erişimi sağlarken daha sonra devreye giren Sandworm grubu veri silme saldırısını gerçekleştirdi.
Araştırmacılar, operasyon sırasında kullanılan MythicRatatoskr adlı yeni bir arka kapı yazılımını da tespit etti. Yazılımın, saldırganların ele geçirilen sistemleri uzaktan yönetmesine ve iletişim altyapılarını gizlemesine olanak tanıdığı belirtiliyor.
Saldırı zararlı e-postayla başladı
İncelenen olayın başlangıcı 16 Temmuz 2025'e uzanıyor. UAC-0099, şirket çalışanlarını hedef alan zararlı dosya ekli bir kimlik avı e-postasıyla sistemlere sızdı. İlk aşamada MATCHWOK adlı arka kapı kullanılırken bir gün sonra MythicRatatoskr devreye alındı.
Yeni keşfedilen zararlı yazılım, iletişim için Yggdrasil adlı merkeziyetsiz bir ağ teknolojisinden yararlanıyor. Bu yapı, saldırganların komuta ve kontrol sunucularının izini sürmeyi zorlaştırabiliyor.
MythicRatatoskr; uzaktan komut çalıştırma, dosya aktarma, ekran görüntüsü alma ve ağ trafiğini yönlendirme gibi işlevlere sahip. ESET, yazılımın farklı saldırılarda kullanıldığına dair henüz bir bulguya ulaşmadığını, ancak Linux sürümünün de bulunabileceğine ilişkin işaretler tespit ettiğini aktarıyor.
İlk erişimden iki ay sonra veri silme saldırısı
Operasyonun dikkat çekici yanı, ilk sızma ile yıkıcı saldırının farklı gruplarla ilişkilendirilmesi. ESET'in bulgularına göre UAC-0099 tarafından sağlanan erişim, yaklaşık iki ay sonra Sandworm'un gerçekleştirdiği veri silme faaliyetlerinde kullanıldı.
Rus askeri istihbarat teşkilatı GRU'nun 74455 numaralı birimiyle ilişkilendirilen Sandworm, geçmişte de yıkıcı siber operasyonlarla gündeme gelmişti. ESET ise Ukrayna'daki hedeflerini ve kullandığı araçları dikkate alarak UAC-0099'un Rusya'nın çıkarları doğrultusunda hareket ettiğini değerlendiriyor.
Araştırma, UAC-0099'un Sandworm için sistemlere ilk erişimi sağlayan bir grup olarak faaliyet gösteriyor olabileceğine işaret ediyor. Ancak bu ilişkinin kapsamı ve iki grup arasındaki koordinasyonun nasıl yürütüldüğü henüz netlik kazanmış değil.