Siber güvenlik şirketi ESET, Rusya yanlısı UAC-0099 APT grubunun kullandığı özel bir C# indirici olan MATCHBOIL kötü amaçlı yazılımının evrimini belgeledi. ESET’in telemetri verilerine göre tespit edilen kurbanların tamamı Ukrayna’da çeşitli sektörlerde faaliyet gösteren kuruluşlar.
- MATCHBOIL, tek seferlik bir indiriciden her iki dakikada bir komuta sunucusuyla iletişim kuran bir araca dönüştü.
- En eski örnekler Nisan 2024’e, en yenileri Nisan 2026’ya ait.
- ESET, UAC-0099’un Sandworm grubu için ilk erişim aracısı olarak hareket edebileceğini düşünüyor.
Saldırı nasıl gerçekleşiyor?
UAC-0099, Ukrayna’daki devlet kurumlarını, finans kuruluşlarını ve medya kuruluşlarını hedef alan bir siber casusluk grubu. ESET, hedefleme kriterlerine dayanarak grubun Rus çıkarlarıyla uyumlu olduğunu, Ukrayna’daki yıkıcı saldırılarıyla tanınan Sandworm grubu için de ilk erişim aracısı olarak hareket edebileceğini değerlendiriyor.
MATCHBOIL’i analiz eden ESET araştırmacısı Fernando Tavella şu açıklamayı yaptı:
Kötü amaçlı yazılım, hedefli oltalama e-postalarındaki kötü amaçlı bağlantılar aracılığıyla dağıtılıyor. Bağlantıya tıklandığında, kurbanın bilgisayarına MATCHBOIL’i indirip çalıştıran bir VBScript dosyası yükü içeren bir arşiv dosyası indiriliyor.
Grup, komuta-kontrol sunucularını barındırmak için BitLaunch gibi sanal özel sunucuları, bunları gizlemek için de Cloudflare gibi bulut hizmetlerini kullanıyor; bu sunucular hem HTTP hem de HTTPS üzerinden çalışıyor.
Hangi sektörler etkilendi?
- Temmuz-Ağustos 2025: çok sayıda ulaştırma şirketinde MATCHBOIL örnekleri tespit edildi.
- Aralık 2025: bir imalat şirketinde görüldü.
- Haziran 2026: bir enerji şirketinde yeni örnekler kaydedildi.
MATCHBOIL ilk kez Ağustos 2025’te CERT-UA tarafından belgelendi, ancak ESET’in incelemesi yazılımın en azından 2024’ten beri geliştirildiğini gösteriyor. Nisan 2024’ten Nisan 2026’ya kadar incelenen örnekler, kod yapısından .NET Reactor gizleme aracının kullanımına kadar birçok değişiklik ortaya çıkardı; bu da UAC-0099 operatörlerinin indirme aracını geliştirmeye büyük ilgi gösterdiğini ortaya koyuyor.
ESET, daha önce de YouTuber’ların Google hesaplarını hedef alan sahte sponsorluk tekliflerine dikkat çekmişti. Şirketin MATCHBOIL bulguları, Rusya yanlısı grupların Ukrayna’daki sanayi kuruluşlarına yönelik siber casusluk kampanyalarını sürdürdüğünü gösteriyor.