Siber güvenlik şirketi ESET, Ukraynalı bir tahıl lojistik şirketine yönelik yıkıcı bir siber saldırının önünü açan MythicRatatoskr adlı yeni bir arka kapı yazılımı keşfetti. ESET’in açıklamasına göre, saldırganların sisteme uzaktan erişmesini sağlayan bu yazılım, komuta sunucusunu gizlemek için Yggdrasil adlı deneysel bir mesh ağ teknolojisinden yararlanıyor.
- Rusya yanlısı UAC-0099 grubu ilk erişimi sağladıktan sonra kontrolü yine Rusya yanlısı Sandworm grubuna devretti.
- Sandworm, devraldığı erişimle şirketin verilerini silerek sistemlere zarar verdi.
- ESET, bu tür bir devir teslimin 2025’te Gamaredon ile Turla arasında da yaşandığını belirtiyor.
Saldırı nasıl gerçekleşti?
ESET’in açıklamasına göre UAC-0099, 16 Temmuz 2025’te Ukrayna’daki tahıl lojistik şirketine, zararlı ek içeren hedefli bir kimlik avı e-postasıyla ilk erişimi sağladı. Bu e-posta, MATCHWOK arka kapısının yürütme zincirini tetikledi. Bir gün sonra saldırganlar, Yggdrasil mesh ağı içinde barındırılan bir komuta sunucusuyla iletişim kuran MythicRatatoskr’ı devreye aldı.
- İlk erişim tarihi: 16 Temmuz 2025
- Kullanılan araçlar: MATCHBOIL indirici, MATCHWOK arka kapısı, MythicRatatoskr
- Veri silme faaliyeti yaklaşık iki ay sonra gözlemlendi
ESET araştırmacısı Anton Cherepanov konuyla ilgili şunları söyledi:
Bu arka kapının başka hiçbir yerde kullanıldığını görmedik; ayrıca bir Linux varyantının da bulunabileceğine dair işaretler tespit ettik. Yggdrasil, deneysel bir yönlendirme şeması kullanan merkeziyetsiz bir mesh ağı; düğümler arasındaki IPv6 iletişimi uçtan uca korunuyor.
Arka kapıyı Cherepanov ile birlikte keşfeden ESET araştırmacısı Peter Strýček, ismin kaynağını şöyle açıkladı:
Yggdrasil, İskandinav mitolojisinde evrenin farklı âlemlerini birbirine bağlayan kutsal ağacın adı. Bu ağaçta, tepesi ile kökleri arasında mesaj taşıyan Ratatoskr adında bir sincap yaşar. Arka kapı Yggdrasil ağında koşuşturan bir haberci rolü üstlendiği için ona MythicRatatoskr adını verdik.
MythicRatatoskr neler yapabiliyor?
- Komut çalıştırma ve dosya sisteminde gezinme
- Dosya aktarımı ve ekran görüntüsü alma
- Ele geçirilen ağ üzerinden bağlantıları yönlendiren bir SOCKS5 proxy kurma
ESET, UAC-0099’u yalnızca Ukrayna’daki devlet kurumlarını, finans ve medya kuruluşlarını hedef alan bir siber casusluk grubu olarak tanımlıyor ve hedefleme örüntülerine dayanarak grubun Rusya’nın çıkarlarıyla uyumlu hareket ettiğini değerlendiriyor. ESET Research, bulgularını 18 Eylül 2026’da LABScon’da ve 16 Ekim 2026’da Virus Bulletin konferansında sundu.