Nöbetçi Eczaneler
Siber güvenlik şirketi ESET Research, Ukrayna’daki bir tahıl lojistik şirketini hedef alan ve veri silinmesiyle sonuçlanan siber saldırıya ilişkin yeni bulgularını paylaştı. Araştırmada, saldırıda kullanılan MythicRatatoskr adlı yeni bir arka kapı yazılımı tespit edildi.
Söz konusu yazılım, saldırganların hedef sistemlere uzaktan erişmesini, komut çalıştırmasını ve dosya aktarımı gerçekleştirmesini sağlıyor. MythicRatatoskr’ın dikkat çeken özelliklerinden biri ise saldırganların komuta ve kontrol sunucusunun konumunu gizlemek amacıyla Yggdrasil adlı özel bir mesh ağ teknolojisinden yararlanması.
İlk erişimi UAC-0099 sağladı, kontrol Sandworm’a geçti
ESET’in araştırmasına göre saldırının ilk aşaması 16 Temmuz 2025’te başladı. Rusya yanlısı olduğu değerlendirilen UAC-0099 grubu, Ukrayna’daki tahıl lojistik şirketine zararlı dosya eki içeren hedefli bir kimlik avı e-postası göndererek sisteme ilk erişimi sağladı.
Bu e-posta üzerinden MATCHWOK adlı arka kapının çalıştırılmasını sağlayan saldırganlar, bir gün sonra MythicRatatoskr yazılımını devreye aldı. Yazılım, Yggdrasil ağı içerisinde barındırılan bir komuta ve kontrol sunucusuyla iletişim kurdu.
ESET, saldırının ilk erişim ve sızma aşamasını daha önce UAC-0099 ile ilişkilendirilen MATCHBOIL indiricisi ve MATCHWOK arka kapısının kullanılması nedeniyle bu gruba atfediyor.
İki ay sonra gerçekleşen veri silme faaliyetlerinin ise kullanılan saldırı yöntemleri ve teknikler doğrultusunda Rusya yanlısı Sandworm grubuyla bağlantılı olduğu değerlendiriliyor. Böylece ilk erişimi sağlayan grubun ardından kontrolün başka bir tehdit aktörüne geçtiği bir saldırı zinciri ortaya çıkarıldı.
MythicRatatoskr hangi özelliklere sahip?
ESET araştırmacılarının tespit ettiği MythicRatatoskr, saldırganlara hedef sistem üzerinde geniş kapsamlı uzaktan erişim imkânı sunuyor.
Zararlı yazılımın başlıca özellikleri şöyle:
Sistem üzerinde uzaktan komut çalıştırma
Dosya sisteminde gezinme
Dosya yükleme ve indirme
Ekran görüntüsü alma
Proxy işlevlerini kullanma
Araştırmacılar, yazılımın ele geçirilen ağ üzerinden bağlantıları yönlendirmek amacıyla SOCKS5 sunucusu kurmak için de kullanılmış olabileceğini değerlendiriyor. Ayrıca MythicRatatoskr’ın Linux işletim sistemleri için geliştirilmiş bir varyantının bulunabileceğine ilişkin işaretler de tespit edildi.
Saldırganlar Yggdrasil ağıyla izlerini gizledi
Saldırıda kullanılan Yggdrasil teknolojisi, merkeziyetsiz bir mesh ağ yapısı olarak çalışıyor. Deneysel bir yönlendirme şemasından yararlanan teknoloji, ağdaki düğümler arasında uçtan uca korumalı IPv6 iletişimi sağlıyor.
ESET araştırmacıları, yeni zararlı yazılıma MythicRatatoskr adını verirken İskandinav mitolojisinden esinlendi. Mitolojide Yggdrasil, evrenin farklı âlemlerini birbirine bağlayan kutsal ağaç olarak biliniyor. Ratatoskr ise ağacın tepesi ile kökleri arasında mesaj taşıyan bir sincap olarak anlatılıyor.
ESET araştırmacısı Peter Strýček, zararlı yazılımın Yggdrasil ağı içerisinde haberci rolü üstlenmesi nedeniyle bu ismin tercih edildiğini belirtti.
ESET’ten Rusya bağlantılı gruplara ilişkin değerlendirme
ESET araştırmacısı Anton Cherepanov, saldırının UAC-0099 tarafından başlatıldığını, ancak elde edilen ilk erişimin daha sonra yıkıcı Sandworm operasyonunda kullanıldığını belirtti.
UAC-0099’un Ukrayna’daki kamu kurumları, finans ve medya kuruluşlarını hedef alan bir siber casusluk grubu olduğunu aktaran ESET, hedefleme örüntülerinden hareketle grubun Rusya’nın çıkarlarıyla uyumlu faaliyet gösterdiğini değerlendiriyor.
Sandworm ise Rusya Genelkurmay Başkanlığı Ana İstihbarat Müdürlüğü’nün (GRU) 74455 numaralı birimiyle ilişkilendirilen ve yıkıcı siber saldırılarla bilinen bir tehdit grubu olarak tanımlanıyor.
ESET Research, MythicRatatoskr’a ilişkin bulgularını 18 Eylül 2026’da LABScon’da, 16 Ekim 2026’da ise Virus Bulletin konferansında sundu.