ESET, Ukrayna’daki saldırıda kullanılan yeni MythicRatatoskr arka kapısını ortaya çıkardı

Yeni Arka Kapı MythicRatatoskr Keşfedildi

Siber güvenlik şirketi ESET, Ukrayna’daki bir tahıl lojistik şirketine karşı düzenlenen yıkıcı bir siber saldırının detaylarını ortaya çıkardı. Saldırıda kullanılan MythicRatatoskr adlı yeni bir arka kapı yazılımı tespit edilen ESET araştırmacıları, bu tehdidin daha önce bilinen hiçbir başka operasyonda kullanılmadığını belirtdi.

Saldırı Zinciri ve Tehdit Aktörleri

Saldırı, 16 Temmuz 2025 tarihinde Rusya yanlısı UAC-0099 grubunun hedefli kimlik avı (spear phishing) e-postası aracılığıyla başladı. E-posta içinde MATCHWOK arka kapısının yürütme zincirini tetikleyen zararlı bir ek bulunuyordu.

Bir gün sonra, saldırganlar MythicRatatoskr arka kapısını devreye aldı. İki ay sonrasında ise Rusya yanlısı Sandworm grubu kontrolü devraldı ve şirketin verilerini silerek sistemlerine zarar verdi. ESET, bu işbirliğinin önceki örnekleri göz önüne aldığında Rusya tarafından organize edilen ve koordine edilen bir operasyon olduğunu değerlendiriyor.

Yggdrasil Ağı Teknolojisi ile İletişim

MythicRatatoskr, saldırganların komuta kontrol sunucusuyla iletişim kurmak için Yggdrasil adlı merkeziyetsiz bir mesh ağdan yararlanıyor. Yggdrasil, deneysel bir yönlendirme şeması kullanan ve düğümler arasında IPv6 iletişiminin uçtan uca korunduğu bir yapıya sahip.

ESET araştırmacısı Peter Stryček açıklamasında, arka kapının adının İskandinav mitolojisindeki Ratatoskr efsanesinden esinlendiğini ifade etti. Mitolojide Ratatoskr, evrenin farklı âlemlerini birbirine bağlayan kutsal Yggdrasil ağacında mesaj taşıyan bir sincaptır. Yeni arka kapı da Yggdrasil ağında haberci rolü oynadığı için bu adı aldı.

İşlevler ve Yetenekler

MythicRatatoskr standart arka kapı işlevlerini destekliyor:

• Komut çalıştırma
• Dosya sisteminde gezinme
• Dosya aktarımı
• Ekran görüntüsü alma
• Proxy fonksiyonları

Saldırı Aşamaları

Sızma sonrası yürütme zinciri, MATCHBOIL indiricisi ve MATCHWOK arka kapısı olmak üzere UAC-0099 ile daha önceden ilişkilendirilen zararlı yazılımlara dayanıyordu. ESET telemetrisi, UAC-0099’un elde ettiği ilk erişimin daha sonra yıkıcı Sandworm operasyonunda kullanıldığını gösteriyor.

Araştırmacılar ayrıca MythicRatatoskr’ın bir Linux varyantının da bulunabileceğine dair işaretler tespit ettiklerini belirtti.