Rus destekli UAC-0099 grubu, MATCHBOIL kötü amaçlı yazılımıyla Ukrayna sanayisini hedef alıyor

MATCHBOIL İndiricisinin Teknik Özellikleri

Siber güvenlik şirketi ESET’in araştırmasına göre, Rus çıkarlarıyla uyumlu UAC-0099 APT grubu tarafından geliştirilen MATCHBOIL, özel bir C# indiricisi olarak tasarlanmıştır. Bu kötü amaçlı yazılım, C&C sunucusundan yük indirmek, yüklemek ve kalıcılığını sağlamak amacıyla kullanılmaktadır.

ESET araştırmacısı Fernando Tavella açıklamasında, yazılımın dağıtım mekanizmasını şu şekilde anlattı: Hedeflenen kurbanlar, kötü amaçlı bağlantılar içeren e-postalar aracılığıyla saldırıya maruz kalıyor. Bağlantıya tıklandığında, bir arşiv dosyası indirilip VBScript yükü çalıştırılarak MATCHBOIL bilgisayara yükleniyor.

Yazılımın Gelişim Süreci

ESET’in analiziyle, MATCHBOIL’in işlevselliği zaman içinde önemli ölçüde gelişmiştir:

• İlk tasarım: Tek seferlik indirici olarak başladı
• Evrim: Her iki dakikada bir C&C sunucusuyla iletişim kurma yeteneğine sahip pervasive bir indiriciye dönüştü
• Arayüz geliştirmeleri: 2025 yılının sonlarında kullanıcı yükü çalıştırırken görünen grafik arayüzü eklendi; 2026 başlarında daha az dikkat çeken versiyona güncellendi
• Obfuskasyon: Kod düzeyinde yapısal değişiklikler ve .NET Reactor gizleme aracının entegrasyonu sağlandı

ESET’in telemetri verilerinin incelenmesi, yazılımın en eski sürümlerinin Nisan 2024’e, en yenilerinin ise Nisan 2026’ya ait olduğunu göstermektedir. Bu kısa zaman diliminde gerçekleştirilen değişiklikler, UAC-0099 operasyonunun yüksek teknik yetkinliğini ve amaca yönelik hedefleme stratejisini ortaya koymaktadır.

İletişim Altyapısı ve Gizleme Teknikleri

UAC-0099 grubu, C&C sunucularını barındırmak için BitLaunch gibi sanal özel sunucu sağlayıcılarını ve bu sunucuları gizlemek için Cloudflare gibi bulut hizmetlerini kullanmaktadır. Altyapı hem HTTP hem de HTTPS protokollerini desteklemektedir. Bu yaklaşım, saldırganlar tarafından izleme ve engellemeyi zorlaştırmak amacıyla tasarlanmıştır.

Hedef Sektörler ve Kampanya Cronolojisi

ESET telemetri verilerinde tespit edilen tüm MATCHBOIL kurbanları, Ukrayna’da çeşitli sektörlerde faaliyet göstermektedir:

• Temmuz-Ağustos 2025: Birçok ulaştırma şirketinde örnekler tespit edildi
• Aralık 2025: Bir imalat şirketinde görüldü
• Haziran 2026: Enerji sektöründeki bir şirkette yeni örnekler kaydedildi

Tehdit Aktörünün Profili

UAC-0099, Ukrayna’daki devlet kurumlarını, finans kuruluşlarını ve medya kuruluşlarını hedef alan bir siber casusluk grubu olarak bilinmektedir. ESET araştırması, grubun Rus çıkarlarıyla uyumlu olduğunu ve yıkıcı saldırılarıyla tanınan Sandworm grubu için ilk erişim aracısı (initial access broker) olarak hareket edebileceğini göstermektedir.

Siber Güvenlik İmaları

BT profesyonelleri ve kurum yöneticileri için bu gelişme, Ukrayna coğrafyasında ve sanayi altyapılarında düzenli siber istihbarat tehdidinin devam ettiğini doğrulamaktadır. MATCHBOIL’in kalıcı iletişim yetenekleri ve süregelen gelişimi, UAC-0099’un uzun vadeli nüfuz ve veri toplama amaçlarını işaret etmektedir. Müşteri kuruluşlar, hedef almış e-posta kampanyaları ve indirici yazılımlarına karşı geliştirilmiş algılama mekanizmaları ve uç nokta güvenliği stratejileri gerektirecektir.