Siber güvenlik şirketi ESET, Ukraynalı bir tahıl şirketine yönelik yıkıcı siber saldırının önünü açan MythicRatatoskr adlı zararlı yazılımı ortaya çıkardı. Saldırganların sisteme uzaktan erişmesini sağlayan yazılım, saldırıyı yönettikleri sunucuyu gizlemek için Yggdrasil adlı özel bir ağ teknolojisinden yararlanıyor.
Rusya yanlısı UAC-0099 grubu şirkete ilk erişimi sağladıktan sonra kontrolü yine Rusya yanlısı Sandworm grubuna devretti. Sandworm, saldırının devamında şirketin verilerini silerek sistemlerine zarar verdi.
Yayımlanan raporda belgelenen bu tür bir devir teslim ilk değil. ESET Research, 2025 yılında Rusya yanlısı Gamaredon grubunun yine Rusya yanlısı bir tehdit aktörü olan Turla ile iş birliği yaptığını ortaya çıkarmıştı.
Sandworm, GRU’nun 74455 numaralı birimiyle ilişkilendiriliyor. ESET, bilinen hedefleme örüntülerini göz önünde bulundurarak UAC-0099’un da Rusya’nın çıkarlarıyla uyumlu hareket ettiğini değerlendiriyor. Şirket ayrıca UAC-0099’un Sandworm için bir ilk erişim grubu olarak faaliyet gösterebileceği görüşünde.
Saldırıyı inceleyen ESET araştırmacısı Anton Cherepanov, UAC-0099’un 16 Temmuz 2025’te Ukrayna’daki bir tahıl lojistik şirketine, zararlı ek içeren hedefli kimlik avı e-postasıyla ilk erişimi sağladığını söyledi. E-postanın, MATCHWOK arka kapısının yürütme zincirini tetiklediğini belirten Cherepanov, saldırganların bir gün sonra Yggdrasil mesh ağı içinde barındırılan bir komuta ve kontrol sunucusuyla iletişim kuran MythicRatatoskr’ı devreye aldığını aktardı.
Cherepanov, “Bu arka kapının başka hiçbir yerde kullanıldığını görmedik; ayrıca bir Linux varyantının da bulunabileceğine dair işaretler tespit ettik. Yggdrasil, deneysel bir yönlendirme şeması kullanan merkeziyetsiz bir mesh ağı; düğümler arasındaki IPv6 iletişimi uçtan uca korunur” dedi.
MythicRatatoskr’ı Cherepanov ile keşfeden ESET araştırmacısı Peter Strýček, zararlı yazılımın adının kaynağını şöyle açıkladı: “‘Yggdrasil’, İskandinav mitolojisinde evrenin farklı âlemlerini birbirine bağlayan kutsal ağacın adı. Bu ağaçta, tepesi ile kökleri arasında mesaj taşıyan Ratatoskr adında bir sincap yaşar. Arka kapı Yggdrasil ağında koşuşturan bir haberci rolü üstlendiği için ona MythicRatatoskr adını verdik.”
Sızma sonrası yürütme zinciri, daha önce UAC-0099’la ilişkilendirilen iki zararlı yazılıma, MATCHBOIL indiricisine ve MATCHWOK arka kapısına dayanıyordu. Bu nedenle ESET, saldırının bu aşamasını UAC-0099’a atfediyor.
ESET araştırmacıları, iki ay sonra gözlemlenen veri silme faaliyetini kullanılan TTP’lere (taktik, teknik ve prosedürler) dayanarak Sandworm’la ilişkilendiriyor. ESET telemetrisi, UAC-0099’un elde ettiği ilk erişimin daha sonra Sandworm’un yıkıcı operasyonunda kullanıldığını gösteriyor.
MythicRatatoskr; komut çalıştırma, dosya sisteminde gezinme, dosya aktarımı, ekran görüntüsü alma ve proxy gibi standart arka kapı işlevlerini destekliyor. Arka kapı büyük olasılıkla, bağlantıları ele geçirilen ağ üzerinden yönlendiren bir SOCKS5 sunucusu kurmak için kullanıldı.
UAC-0099, yalnızca Ukrayna’daki devlet kurumlarını, finans ve medya kuruluşlarını hedef alan bir siber casusluk grubu. ESET, hedefleme örüntülerine dayanarak grubun Rusya’nın çıkarlarıyla uyumlu olduğunu düşünüyor. Sandworm ise yıkıcı saldırılar gerçekleştiren Rusya yanlısı bir tehdit grubu.
ESET Research, MythicRatatoskr’a ilişkin bulgularını 18 Eylül 2026’da LABScon’da ve 16 Ekim 2026’da Virus Bulletin konferansında sundu.
