Ukrayna’daki Siber Saldırı: İki Çeşit Tehdit Grubu İş Birliği İçinde
Ukrayna’daki bir tahıl lojistik şirketine yönelik gerçekleştirilen siber saldırı, iki Rusya yanlısı tehdit grubunun olası iş birliğini belgeliyor. ESET’in yayımladığı son araştırmaya göre, UAC-0099 adlı grup şirketin sistemlerine ilk erişimi sağlarken, Sandworm grubu veri silme saldırısını gerçekleştiren taraf oldu.
Araştırmacılar, o dönemde kullanılan MythicRatatoskr ismindeki yeni bir arka kapı yazılımını da tespit etti. Bu yazılım, saldırganların ele geçirdikleri sistemleri uzaktan kontrol etmelerine ve iletişim altyapılarını gizlemelerine imkan tanıyor.
Saldırının Başlangıcı Zararlı E-posta ile Gerçekleşti
Olayın başlangıcı 16 Temmuz 2025’e kadar uzanıyor. UAC-0099, şirket çalışanlarını hedef alan zararlı dosya ekli bir kimlik avı e-postası göndererek sistemlere sızmayı başardı. İlk aşamada MATCHWOK adındaki arka kapı kullanılırken, bir gün sonra MythicRatatoskr uygulamaya alındı.
Yeni keşfedilen bu zararlı yazılım, iletişim için Yggdrasil isimi merkeziyetsiz bir ağ teknolojisinden yararlanıyor. Bu teknoloji, saldırganların komuta ve kontrol sunucularının izini sürmeyi zorlaştırıyor.
MythicRatatoskr, uzaktan komut çalıştırma, dosya aktarma, ekran görüntüsü alma ve ağ trafiğini yönlendirme gibi çeşitli işlevlere sahip. ESET, bu yazılımın başka saldırılarda kullanılıp kullanılmadığına dair henüz bir bulguya ulaşmamış olsa da, Linux versiyonunun da olabileceği yönünde belirti tespit ettiğini aktarıyor.
İlk Erişimden İki Ay Sonra Veri Silme Saldırısı Gerçekleşti
Operasyonun dikkat çeken bir yönü, ilk sızmanın ardından gerçekleştirilen yıkıcı saldırının iki farklı grupla ilişkilendirilmiş olması. ESET’in bulgularına göre, UAC-0099 tarafından sağlanan erişim, yaklaşık iki ay sonra Sandworm’un gerçekleştirdiği veri silme faaliyetlerinde kullanıldı.
Rus askeri istihbarat teşkilatı GRU ile ilişkilendirilen Sandworm, geçmişte de yıkıcı siber operasyonları ile adından söz ettirmişti. ESET, UAC-0099’un hedeflerini ve kullandığı araçları dikkate alarak, grubun Rusya’nın çıkarlarını desteklediği sonucuna vardı.
Araştırma, UAC-0099’un Sandworm için sistemlere ilk erişimi sağlayan bir grup olarak faaliyet gösterdiğine işaret ediyor, ancak bu iki grup arasındaki ilişki ve koordinasyonun nasıl gerçekleştiği konusunda hala netlik yok.
