Siber güvenlik kuruluşu ESET, Ukrayna merkezli bir tahıl lojistik firmasının verilerinin silinmesiyle sonuçlanan yıkıcı siber operasyonda sistemlere sızmak için kullanılan MythicRatatoskr zararlı yazılımı adlı yeni bir arka kapıyı tespit etti.
Kriz bölgelerindeki kritik altyapı ve tedarik zinciri kuruluşlarını hedef alan siber operasyonlarda, tehdit aktörlerinin izlerini gizlemek amacıyla merkeziyetsiz ağ teknolojilerine yöneldiği yeni bir vaka belgelendi. ESET Research tarafından yayımlanan teknik rapora göre, saldırganların hedef sisteme uzaktan erişim sağlamasına olanak tanıyan MythicRatatoskr zararlı yazılımı, komuta ve kontrol sunucusunu gizlemek adına Yggdrasil isimli özel bir ağ teknolojisini kullanıyor. Operasyonun ilk aşamasında Rusya yanlısı siber casusluk grubu UAC-0099 hedef şirketin ağına sızarken, elde edilen bu erişim daha sonra yine Rusya yanlısı tehdit grubu Sandworm'a devredildi. Kontrolü devralan Sandworm ise saldırının son evresinde şirketin verilerini tamamen silerek bilişim sistemlerini tahrip etti. ESET araştırmacıları, bu keşfe ilişkin teknik bulguları 18 Eylül 2026 tarihinde LABScon etkinliğinde ve 16 Ekim 2026’da düzenlenen Virus Bulletin konferansında siber güvenlik dünyasıyla paylaştı.
UAC-0099 ve Sandworm Grupları Arasındaki Siber İş Birliği
Yayımlanan analizde dikkat çekilen erişim devri, bölgedeki tehdit aktörleri arasında gözlemlenen ilk ortak çalışma niteliği taşımıyor. ESET Research uzmanları, 2025 yılı içinde de Rusya yanlısı Gamaredon grubunun bir diğer Rusya yanlısı tehdit aktörü olan Turla ile iş birliği yürüttüğünü ortaya koymuştu. Son saldırının yıkıcı aşamasını gerçekleştiren Sandworm, doğrudan GRU’nun 74455 numaralı birimiyle ilişkilendiriliyor. Sadece Ukrayna sınırları içerisindeki devlet kurumlarını, medya organlarını ve finans kuruluşlarını hedef alan UAC-0099'un ise bilinen hedefleme örüntüleri doğrultusunda Rusya’nın çıkarlarıyla uyumlu hareket ettiği değerlendiriliyor.
ESET telemetri verileri, UAC-0099 tarafından sağlanan ilk sistem erişiminin doğrudan yıkıcı Sandworm operasyonuna zemin hazırladığını kanıtlıyor. Bu tablo doğrultusunda güvenlik uzmanları, UAC-0099 yapılanmasının Sandworm adına bir ilk erişim grubu olarak faaliyet yürütüyor olabileceğine işaret ediyor. İlk sızma işleminin ardından devreye giren yürütme zincirinin, geçmişte de UAC-0099 ile ilişkilendirilen MATCHBOIL indiricisi ve MATCHWOK arka kapısına dayanması sebebiyle saldırının başlangıç safhası doğrudan bu gruba atfediliyor. İlk sızmadan iki ay sonra başlayan veri silme eylemleri ise kullanılan taktik, teknik ve prosedürler (TTP) incelendiğinde Sandworm grubuyla eşleşiyor.
MythicRatatoskr Zararlı Yazılımı ve Yggdrasil Ağı Nasıl Çalışıyor?
Saldırının teknik işleyişini mercek altına alan ESET araştırmacısı Anton Cherepanov, operasyonun 16 Temmuz 2025 tarihinde Ukrayna’da faaliyet gösteren tahıl lojistik şirketine gönderilen zararlı eklentili bir hedefli kimlik avı (spear phishing) e-postasıyla başladığını belirtti. Söz konusu e-postanın MATCHWOK arka kapısının yürütme zincirini tetiklediğini aktaran Cherepanov, ilk sızmadan yalnızca bir gün sonra saldırganların Yggdrasil mesh ağı üzerinde barındırılan komuta ve kontrol sunucusuyla haberleşen MythicRatatoskr zararlı yazılımı bileşenini devreye soktuğunu ifade etti.
Deneysel bir yönlendirme şeması kullanan merkeziyetsiz bir mesh ağı olan Yggdrasil, ağdaki düğümler arasında gerçekleşen IPv6 iletişimini uçtan uca şifreleyerek koruma altına alıyor. Bu arka kapının daha önce başka hiçbir siber saldırıda görülmediğini vurgulayan Cherepanov, yapılan incelemelerde yazılımın bir Linux varyantının da bulunabileceğine yönelik izler saptadıklarını kaydetti.
Yazılımı Cherepanov ile birlikte keşfeden ESET araştırmacısı Peter Strýček ise arka kapıya verilen ismin İskandinav mitolojisine dayandığını açıkladı. İskandinav mitolojisinde evrenin farklı âlemlerini birbirine bağlayan kutsal ağacın Yggdrasil olarak adlandırıldığını hatırlatan Strýček, bu ağacın kökleri ile tepesi arasında mesaj taşıyan sincabın adının Ratatoskr olduğunu, keşfedilen arka kapının da Yggdrasil ağı içerisinde koşturan bir haberci rolü üstlenmesi nedeniyle bu ismi seçtiklerini belirtti.
Sistemde SOCKS5 Sunucusu ve Uzaktan Erişim Yetenekleri
Siber güvenlik uzmanlarının yaptığı tersine mühendislik analizlerine göre, sisteme yerleştirilen MythicRatatoskr zararlı yazılımı standart bir arka kapının sahip olduğu temel işlevlerin tamamını barındırıyor. Zararlı yazılım; ele geçirilen cihazda uzaktan komut çalıştırma, dosya sistemi içerisinde gezinme, dışarıya veya içeriye dosya aktarımı yapma, anlık ekran görüntüsü alma ve proxy oluşturma yeteneklerini destekliyor.
Araştırmacılar, sızma operasyonunda kullanılan bu arka kapının büyük olasılıkla ağ trafiğini ve dış bağlantıları ele geçirilen şirket ağı üzerinden yönlendirmeye yarayan bir SOCKS5 sunucusu kurmak amacıyla kullanıldığını değerlendiriyor. Gelişmiş gizlilik sağlayan merkeziyetsiz ağ protokollerinin siber casusluk ve veri imha operasyonlarında kullanılması, kritik sektörlerdeki kurumların hedefli kimlik avı saldırılarına ve ağ içi olağandışı trafik hareketlerine karşı savunma mekanizmalarını güçlendirmesi gerektiğini bir kez daha ortaya koyuyor.