Rusya Kaynaklı Saldırganlar Ukrayna’ya Yönelik Yıkıcı Saldırıda Yeni Mesh Ağ Açığı Kullandı.

Görsel Kaynağı: The Hacker News

Rusya devleti tarafından desteklenen siber saldırı grubu Sandworm, geçen yıl Ukraynalı bir lojistik şirketine yönelik yıkıcı bir veri silme saldırısı gerçekleştirmek için başka bir tehdit aktörüyle iş birliği yaptı.

ESET’e göre saldırı, UAC-0099 (diğer adı Earth Sirrush) aracılığıyla 16 Temmuz 2025’te zararlı içeren bir ekle sahip hedeflenen e-posta (spear-phishing) ile hedefe ilk erişimi sağladı ve bu da MATCHBOIL adlı bir indirici aracılığıyla MATCHWOK backdoor’unun kurulmasına yol açtı.

Etkinlik sonunda, tehdit aktörünün erişimi Sandworm’a devretmesiyle sonuçlandı; Sandworm ise 17 Eylül 2025’te, bir taban edinmesinden iki aydan fazla bir süre sonra veri silme saldırısı gerçekleştirdi.

Saldırının öne çıkmasını sağlayan şey, UAC-0099’un daha önce belgelenmemiş bir backdoor olan MythicRatoskr’ı, komut ve kontrol (C2) sunucusunun Yggdrasil ağ örneği (mesh network) içinde barındırıldığı bir sistemle iletişim kurarak kullanmasıdır. Backdoor, MATCHWOK çalıştırıldıktan bir gün sonra kuruldu.

Backdoor üzerindeki geliştirmenin Aralık 2024 ile Şubat 2025 arasındaki bir dönemde başladığına dair işaretler var. İşlevselliği oldukça basittir: kurban meta verilerini C2 sunucusuna gönderir, yeni komutlar için sorgular, komut çıktısını iletir, ekran görüntüsü alır ve dosya yükler/indirir.

Aynı zamanda geçerli çalışma dizinini değiştirebilir, dizin içeriğini listeleyebilir, C2 sunucu URL’sini değiştirebilir, “cmd.exe” aracılığıyla bir kabuk komutu çalıştırabilir ve ters yönlü bir SOCKS5 vekil sunucusu (reverse SOCKS5 proxy) açabilir. Buna ek olarak, bazı izler, muhtemelen Yggdrasil ağına anında bağlanmaktan kaçınmak ve tespit edilmekten kaçınmak amacıyla 10 dakikalık bir başlatma gecikmesi içeriyor.

“Bildiğimiz kadarıyla, Yggdrasil’in böyle bir şekilde devletle uyumlu bir tehdit aktörü tarafından kötüye kullanıldığı ilk belgelenmiş durum bu ve bu, rakiplerin altyapılarının dayanıklılığını ve gizliliğini artırmak için deneş peer-to-peer ağları benimsemeye yönelik daha geniş bir eğilimi işaret ediyor olabilir,” ESET araştırmacıları Anton Cherepanov ve Peter Strýček söyledi.

MythicRatatoskr’ın, bağlantıları ihlal edilen ağ üzerinden yönlendirmek için bir SOCKS5 sunucusu devreye soktuğu belirtiliyor. Saldırı, Sandworm’un Active Directory Grup İlkesi aracılığıyla SDelete yardımcı programını indirerek veri silme saldırısı gerçekleştirmesiyle doruk noktasına ulaştı. Sandworm ile ilişkilendirilen NikoWiper zararlı yazılımının da SDelete’den türetilmiş olması dikkat çekici.

ESET’in incelediği saldırının bir Windows ortamını ihlal etmiş olmasıyla birlikte, MythicRatatoskr içindeki “crond” referansları zararlı yazılımın muhtemelen bir Linux sürümüne de sahip olabileceğini işaret ediyor.

UAC-0099’un Sandworm ile işbirliği yapmasının muhtemel olduğu yönündeki değerlendirme yeni değil. ESET’in APT Faaliyet Raporu 2025 Q2–Q3 döneminde, UAC-0099’un ilk erişim operasyonlarını yürüttüğünü ve ardından daha ileri düzeyde sömürü aşaması için “doğrulanmış hedefleri” Sandworm’a aktardığını gözlemiş olduğunu belirtmişti.

Bu saldırıların Ukrayna’daki hükümet, enerji, lojistik ve tahıl sektörlerini hedef aldığı, Slovak siber güvenlik şirketi o dönemde kaydetmişti. ESET, The Hacker News’a MythicRatatoskr vakasının bu saldırılar arasında olduğunu onayladı.

Rusya yanlı aktörler arasındaki bu tür işbirliğinin de yeni olmadığı belirtiliyor. Geçen yıl ESET, Gamaredon ile Turla’nın Ukrayna varlıklarını hedef alıp ortaklaşa ihlal etmek için birlikte çalıştığını gösteren kanıtlar tespit ettiğini açıklamıştı; bu girişimlerden birinde Gamaredon’un PteroGraphin’ini kullanarak Turla’nın Kazuar arka kapısını devreye soktuğu kaydedilmişti.

Ayrıca, Pterodo adlı Gamaredon ile ilişkilendirilen bir indirici, Ukrayna ve Rusya’daki hedeflere karşı kullanılan modüler bir casus yazılım programı olan InvisiMole’u çekip çalıştırmak için kullanıldı.

“Bu tür işbirliği, Rusya yanlı gruplar arasında muhtemelen operasyonel etkilerini artırmayı amaçlayan, koordineli siber istihbarat kampanyaları yürütme potansiyelini ortaya koyuyor,” dedi ESET.