Siber güvenlik alanında dünya çapında tanınan ESET, Ukrayna'da faaliyet gösteren bir tahıl lojistik şirketine yönelik gerçekleştirilen yıkıcı siber saldırının perde arkasını aydınlattı. Şirket, bu saldırıda kullanılan ve daha önce tespit edilmemiş olan MythicRatatoskr adını verdiği yeni bir arka kapı zararlı yazılımını keşfetti. Bu zararlı yazılım, saldırganlara sisteme uzaktan erişim imkanı sunarken, komuta ve kontrol sunucularını gizlemek amacıyla Yggdrasil adı verilen özel bir ağ teknolojisinden faydalanıyor.
ESET'in raporuna göre, saldırının başlangıcında Rusya yanlısı UAC-0099 grubu şirketin sistemlerine ilk erişimi sağladı. Ardından kontrol, yine Rusya yanlısı olduğu bilinen ve GRU'nun 74455 numaralı birimiyle ilişkilendirilen Sandworm grubuna devredildi. Sandworm, devraldığı kontrolle şirketin verilerini silerek sistemlerine ciddi zararlar verdi. Bu tür bir devir teslimin ilk olmadığı, ESET Research'ün 2025'te Gamaredon ile Turla grupları arasındaki benzer bir iş birliğini de belgelendiği belirtildi.
Ukrayna'daki Tahıl Şirketine Yönelik Siber Saldırının Detayları
ESET araştırmacısı Anton Cherepanov'un açıklamasına göre, saldırı 16 Temmuz 2025 tarihinde Ukrayna'daki tahıl lojistik şirketine gönderilen hedefli bir kimlik avı (spear phishing) e-postasıyla başladı. Bu e-posta, zararlı bir ek içeriyordu ve MATCHWOK arka kapısının yürütme zincirini tetikledi. Saldırganlar, ilk erişimi sağladıktan sadece bir gün sonra, Yggdrasil mesh ağı içinde barındırılan komuta ve kontrol sunucusuyla iletişim kuran MythicRatatoskr'ı devreye soktu.
Cherepanov, MythicRatatoskr'ın daha önce hiçbir yerde görülmediğini ve bu arka kapının bir Linux varyantının da olabileceğine dair işaretler bulduklarını vurguladı. Bu durum, zararlı yazılımın potansiyel yayılım alanının daha geniş olabileceğini gösteriyor. ESET, bilinen hedefleme örüntülerini dikkate alarak UAC-0099 grubunun da Rusya'nın stratejik çıkarları doğrultusunda hareket ettiğini ve Sandworm için bir ilk erişim grubu olarak işlev görebileceğini değerlendiriyor.
MythicRatatoskr ve Yggdrasil: Siber Saldırının Teknik Boyutları
MythicRatatoskr'ın keşfinde Anton Cherepanov ile birlikte görev alan ESET araştırmacısı Peter Strýček, zararlı yazılımın kullandığı Yggdrasil ağ teknolojisi hakkında önemli bilgiler verdi. Strýček, Yggdrasil'in deneysel bir yönlendirme şeması kullanan, merkeziyetsiz bir mesh ağı olduğunu belirtti. Bu ağda, düğümler arasındaki IPv6 iletişimi uçtan uca korunuyor. Bu özellik, saldırganların faaliyetlerini gizlemede ve tespit edilmekten kaçınmada önemli bir rol oynuyor.
İskandinav mitolojisinde evrenin farklı alemlerini birbirine bağlayan kutsal ağaç olarak bilinen 'Yggdrasil' adının, bu teknolojiye verilmesi de dikkat çekici. Bu benzetme, ağın farklı sistemler ve coğrafyalar arasında bağlantı kurma yeteneğini simgeliyor. Siber güvenlik uzmanları, bu tür gelişmiş ağ teknolojilerinin zararlı yazılımlar tarafından kullanılmasıyla, saldırıların izinin sürülmesinin ve engellenmesinin daha da zorlaştığına dikkat çekiyor.
- MythicRatatoskr: Ukrayna'daki tahıl şirketine yönelik saldırıda kullanılan yeni arka kapı zararlı yazılımı.
- Yggdrasil: Saldırganların komuta ve kontrol sunucusunu gizlemek için kullandığı deneysel, merkeziyetsiz mesh ağı.
- UAC-0099: Şirkete ilk erişimi sağlayan Rusya yanlısı siber saldırı grubu.
- Sandworm: Saldırının devamında verileri silen ve sistemlere zarar veren, GRU ile ilişkili Rusya yanlısı siber grup.
ESET'in bu keşfi, siber güvenlik dünyasında Rusya yanlısı grupların iş birliği içinde daha sofistike saldırılar gerçekleştirdiğini bir kez daha gözler önüne seriyor. Şirketlerin ve kritik altyapıların bu tür gelişmiş ve gizli tehditlere karşı sürekli teyakkuzda olması gerektiği vurgulanıyor.
