ESET, Ukrayna’daki Yıkıcı Saldırıda Kullanılan MythicRatatoskr Arka Kapısını Keşfetti

Yeni Arka Kapı: MythicRatatoskr

Siber güvenlik şirketi ESET, Ukrayna’daki bir tahıl lojistik şirketine yönelik yıkıcı bir siber saldırının özünde bulunan MythicRatatoskr adlı zararlı yazılımı ortaya çıkardı. Keşfedilen bu arka kapı, saldırganların uzaktan sistem erişimi ve kontrol imkanı sunmakta ve yggdrasil adlı özel bir mesh ağ teknolojisinden yararlanarak komuta-kontrol sunucularını gizlemektedir.

Koordineli Saldırı ve Aktör İşbirliği

Saldırı, iki Rusya yanlısı tehdit aktörünün koordineli operasyonunu göstermektedir. Rusya yanlısı UAC-0099 grubu 16 Temmuz 2025’te zararlı ek içeren hedefli bir kimlik avı e-postasıyla tahıl şirketine ilk erişimi sağlamıştır. Bu e-posta, MATCHWOK arka kapısının yürütme zincirini tetiklemiştir.

Bir gün sonra, saldırganlar Yggdrasil mesh ağı içinde barındırılan bir komuta ve kontrol sunucusuyla iletişim kuran MythicRatatoskr arka kapısını devreye almıştır. İki ay sonra ise kontrol, GRU’nun 74455 numaralı birimiyle ilişkilendirilen Sandworm grubuna devredilerek hedef şirketin verilerini silme amacı taşıyan yıkıcı operasyon başlatılmıştır.

Ağ İletişimi: Yggdrasil Mesh Ağı

Saldırganlar, komuta-kontrol altyapısını gizlemek için deneyseldeneysel bir yönlendirme şeması kullanan merkeziyetsiz bir mesh ağ olan Yggdrasil teknolojisine başvurmuştur. Bu ağda düğümler arasındaki IPv6 iletişimi uçtan uca şifrelidir ve saldırganların izini sürmeyi zorlaştırmaktadır.

Arka Kapının Özellikleri ve Tasarımı

MythicRatatoskr, standart arka kapı işlevlerinin yanı sıra aşağıdaki yetenekleri desteklemektedir:

• Komut çalıştırma ve dosya sistemi navigasyonu
• Dosya aktarımı ve ekran görüntüsü alma
• Proxy fonksiyonları
• Ağ iletişimi maskeleme

ESET araştırmacılarının raporlarına göre, bu arka kapının başka yerde kullanımı tespit edilmemiş olup, bir Linux varyantının da bulunabileceğine dair işaretler saptanmıştır.

Saldırı Zinciri ve Atribüsyon

Hedefin sistem kontrolü ele geçirilmesinde kullanılan yürütme zinciri, daha önce UAC-0099 ile ilişkilendirilen MATCHBOIL indirici ve MATCHWOK arka kapısına dayanmaktadır. ESET telemetrisi, UAC-0099’un elde ettiği ilk erişimin daha sonra Sandworm tarafından yönetilen yıkıcı operasyonda kullanıldığını göstermektedir.

ESET Research, işbirliğinin birinci dereceden bulgusu niteliğinde değerlendirilmektedir. Kuruluş, 2025 yılında Gamaredon ve Turla gibi Rusya yanlısı aktörlerin de koordineli işbirliği yaptığını daha önce dokümante etmiştir. Bu örnek, APT grupları arasında artan operasyonel koordinasyonun bir göstergesidir.

Sektöre Yönelik Çıkarımlar

Keşfedilen arka kapı ve saldırı deseni, kritik altyapı ve üretim sektörünü hedef alan tehditlerde yeni bir trendi işaret etmektedir. Özellikle mesh ağ teknolojilerinin siber saldırılarda maskeleme amacıyla kullanımı, defans altyapılarının yeni tehdit vektörlerine uyum sağlaması gerekliliğini ortaya koymaktadır.