Rusya Bağlantılı Hackerlar, Yeni Mesh Ağ Arka Kapısını Kullandı

Rusya destekli hacker grubu Sandworm, geçen yıl Ukrayna'daki bir lojistik şirketine karşı yıkıcı bir veri silme saldırısı gerçekleştirdi. ESET'in raporuna göre, bu saldırıda UAC-0099 (diğer adıyla Earth Sirrush) 16 Temmuz 2025'te hedefe bir oltalama e-postası aracılığıyla erişim sağladı. Bu e-posta, MATCHBOIL adlı bir indirgeyici aracılığıyla MATCHWOK arka kapısının yüklenmesine yol açan kötü amaçlı bir ek içeriyordu.

Saldırı, UAC-0099'un erişimi Sandworm'a devretmesiyle devam etti ve bu grup, 17 Eylül 2025'te iki aydan fazla bir süre sonra veri silme saldırısını gerçekleştirdi. Saldırının dikkat çekici yanı, UAC-0099'un Yggdrasil mesh ağında barındırılan bir komut ve kontrol (C2) sunucusuyla iletişim kuran, daha önce belgelenmemiş bir arka kapı olan MythicRatatoskr'ı kullanmasıdır. Bu arka kapı, MATCHWOK'un çalıştırılmasından bir gün sonra devreye alındı.

MythicRatatoskr'ın geliştirilmesine 2024 Aralık ile 2025 Şubat arasında bir tarihte başlandığına dair ipuçları var. Bu arka kapı, kurbanın meta verilerini C2 sunucusuna göndermek, yeni komutlar kontrol etmek, komut çıktısını iletmek, ekran görüntüleri almak ve dosya yüklemek/indirmek gibi temel işlevlere sahiptir. Ayrıca, mevcut çalışma dizinini değiştirme, dizin içeriklerini listeleme, C2 sunucu URL'sini değiştirme ve "cmd.exe" üzerinden bir komut çalıştırma gibi ek yeteneklere de sahiptir. Bu arka kapının, Yggdrasil ağına hemen bağlanmaktan kaçınmak için muhtemelen 10 dakikalık bir başlangıç gecikmesi içerdiği belirtiliyor.

ESET araştırmacıları Anton Cherepanov ve Peter Strýček, "Bilgimize göre, bu, bir devlet destekli tehdit aktörü tarafından Yggdrasil'in bu şekilde kötüye kullanıldığı ilk belgelenmiş vakadır ve bu, düşmanların altyapılarının dayanıklılığını ve gizliliğini artırmak için deneysel eşler arası ağları benimseme eğilimini gösterebilir," dedi.

MythicRatatoskr'ın, uzaktan bağlantıları yönlendirmek için bir SOCKS5 sunucusu kurmak amacıyla kullanıldığı bildiriliyor. Sandworm, Active Directory Grup Politikası aracılığıyla SDelete aracını kullanarak veri silme saldırısını gerçekleştirdi. Sandworm ile bağlantılı NikoWiper kötü amaçlı yazılımının da SDelete'den türediği dikkat çekiyor.

ESET, UAC-0099'un Sandworm ile işbirliği yaptığı değerlendirmesinin yeni olmadığını belirtiyor. 2025'in ikinci çeyreği ile üçüncü çeyreği arasındaki APT Faaliyet Raporu'nda, UAC-0099'un başlangıç erişim işlemlerini gerçekleştirdiğini ve ardından "doğrulanmış hedefleri" Sandworm'a devrettiğini gözlemlediklerini belirtti. Bu saldırılar, Ukrayna'daki hükümet, enerji, lojistik ve tahıl sektörlerini hedef aldı.

Rusya ile bağlantılı aktörler arasındaki bu tür işbirlikleri yeni değil. Geçen yıl ESET, Gamaredon ve Turla'nın Ukrayna varlıklarını hedef almak ve birlikte saldırılar düzenlemek üzere işbirliği yaptığını belirledi. Ayrıca, Gamaredon ile bağlantılı Pterodo adlı bir indirici, Ukrayna ve Rusya'daki hedeflere karşı kullanılan InvisiMole adlı modüler casus yazılımı almak ve çalıştırmak için kullanıldı. ESET, "Bu tür bir işbirliği, Rusya ile bağlantılı gruplar arasında koordineli siber casusluk kampanyalarının potansiyelini vurguluyor ve muhtemelen operasyonel etkilerini artırmayı amaçlıyor," dedi.