Siber güvenlik uzmanları, Ukrayna'nın kritik altyapı ve kurumlarının sürekli olarak siber saldırganların hedefinde olduğunu belirtiyor. Son olarak, siber güvenlik şirketi ESET, Rusya yanlısı olduğu düşünülen UAC-0099 APT grubunun, Ukrayna'daki çeşitli sektörleri hedef alan saldırılarında kullandığı özel bir C# indirici olan MATCHBOIL kötü amaçlı yazılımının gelişimini mercek altına aldı. Bu yazılımın temel amacı, grubun Komuta ve Kontrol (C&C) sunucusundan zararlı yükleri indirmek, sisteme kurmak ve kalıcılığı sağlamak olarak açıklandı.

UAC-0099 Grubu ve Hedefleri

ESET'in telemetri verilerine göre, MATCHBOIL kötü amaçlı yazılımının kurbanları arasında Ukrayna'daki devlet kurumları, finans kuruluşları ve medya organları bulunuyor. UAC-0099'un bu hedefleme kriterleri, grubun Rus çıkarlarıyla uyumlu hareket ettiğini düşündürüyor. Hatta ESET uzmanları, UAC-0099'un, Ukrayna'ya yönelik yıkıcı siber saldırılarıyla bilinen ve yine Rusya ile bağlantılı Sandworm grubu için bir 'ilk erişim aracısı' rolü üstlenebileceği ihtimali üzerinde duruyor.

MATCHBOIL'in Evrimi ve Dağıtım Yöntemleri

ESET araştırmacısı Fernando Tavella, MATCHBOIL'in dağıtım mekanizması ve zaman içindeki değişimine ilişkin önemli bilgiler paylaştı. Tavella'ya göre, kötü amaçlı yazılım genellikle hedefli oltalama e-postalarındaki zararlı bağlantılar aracılığıyla yayılıyor. Kurbanın bu bağlantıya tıklamasıyla, MATCHBOIL'i indirip çalıştıran bir VBScript dosyası içeren bir arşiv dosyası bilgisayara yükleniyor.

  • İlk Sürümler: Yazılımın en eski sürümleri Nisan 2024'e kadar uzanıyor.
  • Fonksiyonel Gelişim: Başlangıçta tek seferlik bir indirici olan MATCHBOIL, zamanla her iki dakikada bir C&C sunucusuyla iletişim kurabilen daha gelişmiş bir yapıya büründü.
  • Görsel Değişim: 2025 yılının sonlarında, kullanıcı yükü çalıştırdığında görünen bir grafik kullanıcı arayüzü eklenmiş, ancak 2026 başlarında bu arayüz daha az dikkat çeken bir versiyona dönüştürülmüştür. Bu durum, siber saldırganların tespit edilmekten kaçınma çabalarını gösteriyor.

Saldırıların Teknik Detayları ve Altyapı Kullanımı

UAC-0099 grubu, C&C sunucularını barındırmak için BitLaunch gibi sanal özel sunucuları tercih ediyor. Ayrıca, bu sunucuların izini gizlemek amacıyla Cloudflare gibi bulut hizmetlerinden faydalanıyorlar. Bu sunucular hem HTTP hem de HTTPS protokollerini kullanarak iletişim kurabiliyor. MATCHBOIL, ilk olarak Ağustos 2025'te CERT-UA tarafından belgelenmiş olsa da, ESET'in derinlemesine analizleri, yazılımın en azından 2024 yılından bu yana aktif olarak geliştirilmekte olduğunu ortaya koyuyor. Analiz edilen en yeni sürümler Nisan 2026 tarihli olup, indiricinin her yeni versiyonunun bir öncekinden daha gelişmiş özelliklere sahip olduğu belirtiliyor.

Bu sürekli gelişim, UAC-0099 grubunun Ukrayna'ya yönelik siber casusluk faaliyetlerini kararlılıkla sürdürdüğünü ve güvenlik önlemlerini aşma konusunda sürekli yeni yöntemler denediğini gösteriyor. Ukrayna'daki kritik sektörlerin, bu tür gelişmiş tehditlere karşı sürekli teyakkuzda olması ve siber güvenlik altyapılarını güçlendirmesi büyük önem taşıyor.