Sandworm ve UAC-0099 Ortaklığı: Ukraynalı Lojistik Firması Yeni Arka Kapı ile Silindi

Siber güvenlik şirketi ESET'in araştırmacıları, Rus devletiyle bağlantılı hacker grubu Sandworm'un başka bir tehdit aktörüyle koordineli biçimde Ukraynalı bir lojistik firmasına yönelik yıkıcı bir silme saldırısı düzenlediğini ortaya koydu. Saldırı zinciri, UAC-0099 (diğer adıyla Earth Sirrush) adlı grubun 16 Temmuz 2025'te hedef sisteme zararlı ek içeren bir hedefli kimlik avı (spear-phishing) e-postasıyla ilk erişimi ele geçirmesiyle başladı. İki ayı aşkın bir süre sonra, 17 Eylül 2025'te Sandworm devreye girerek veri silme saldırısını gerçekleştirdi.

Saldırı Zinciri: İlk Erişimden Veri Silmeye​

UAC-0099'un kurbanın sistemine sızma yöntemi, MATCHBOIL adlı bir indirici aracılığıyla MATCHWOK arka kapısının konuşlandırılmasına dayanıyordu. MATCHWOK çalıştırıldıktan bir gün sonra ise daha önce hiç belgelenmemiş yeni bir arka kapı olan MythicRatatoskr devreye sokuldu. UAC-0099, ele geçirdiği bu erişimi sonunda Sandworm'a devretti; Sandworm da Active Directory Group Policy üzerinden SDelete yardımcı programını dağıtarak veri silme operasyonunu tamamladı. Sandworm bağlantılı NikoWiper zararlı yazılımının da SDelete'ten türetildiği bilinmektedir.
ESET'in APT Faaliyet Raporu Q2 2025–Q3 2025'te de belirtildiği üzere, UAC-0099'un Ukrayna'daki hükümet, enerji, lojistik ve tahıl sektörlerini hedef alarak elde ettiği ilk erişimleri doğrulanmış hedefler olarak Sandworm'a aktardığı daha önce de gözlemlenmiştir. Bu saldırı, söz konusu iş birliğinin somut ve teknik ayrıntılarıyla belgelenmiş bir örneği olması bakımından öne çıkıyor.

MythicRatatoskr: Yggdrasil Ağını Kullanan Yeni Arka Kapı​

Saldırıyı siber güvenlik dünyasında dikkat çekici kılan en önemli unsur, MythicRatatoskr adlı yeni arka kapının Yggdrasil mesh ağı içinde barındırılan bir komuta ve kontrol (C2) sunucusuyla iletişim kurmasıdır. ESET araştırmacıları Anton Cherepanov ve Peter Strýček, bu kullanımı devlet destekli bir tehdit aktörünün Yggdrasil'i bu şekilde kötüye kullandığına dair bilinen ilk belgelenmiş vaka olarak nitelendirdi.
MythicRatatoskr'ın işlevselliği; kurban meta verilerini C2 sunucusuna iletme, yeni komutlar için yoklama yapma, komut çıktısı gönderme, ekran görüntüsü alma ve dosya yükleme/indirme gibi temel yetenekleri kapsıyor. Bunların yanı sıra arka kapı, mevcut çalışma dizinini değiştirebiliyor, dizin içeriklerini listeleyebiliyor, C2 sunucu URL'sini güncelleyebiliyor, cmd.exe üzerinden kabuk komutu çalıştırabiliyor ve bir ters SOCKS5 proxy başlatabiliyor. MythicRatatoskr ayrıca Yggdrasil ağına bağlanmadan önce 10 dakikalık bir başlangıç gecikmesi uygulayarak tespitten kaçınmaya çalışıyor. Arka kapının geliştirme sürecinin Aralık 2024 ile Şubat 2025 arasında bir noktada başladığına işaret eden kanıtlar da mevcut.
Araştırmacılar, MythicRatatoskr kaynak kodunda Linux'a özgü "crond" referanslarına rastlandığını ve bu durumun zararlı yazılımın bir Linux sürümünün de var olabileceğine işaret ettiğini belirtti. Saldırıda ele geçirilen sistem Windows tabanlıydı; ancak bu olasılık, tehdidin kapsamını daha da genişletebilir.

Rus Grupları Arasındaki İş Birliği Örüntüsü​

Rusya yanlısı tehdit aktörleri arasındaki bu tür koordinasyonun yeni bir olgu olmadığını ESET daha önce de vurgulamıştı. Şirket geçtiğimiz yıl, Gamaredon ve Turla gruplarının Ukraynalı hedefleri birlikte ele geçirmek için iş birliği yaptığına dair kanıtlar bulduğunu açıklamıştı; söz konusu saldırılarda Gamaredon'ın PteroGraphin aracı, Turla'nın Kazuar arka kapısını konuşlandırmak için kullanılmıştı. Öte yandan Gamaredon bağlantılı Pterodo indirici, Ukrayna ve Rusya'daki hedeflere karşı kullanılan modüler bir casus yazılım olan InvisiMole'u indirip çalıştırmak için de kullanılmıştı.
ESET, "Bu tür iş birliği, Rusya yanlısı gruplar arasında koordineli siber casusluk kampanyalarının potansiyelini ortaya koymakta olup büyük olasılıkla operasyonel etkilerini artırmak amacıyla tasarlanmaktadır" değerlendirmesini yaptı. Araştırmacılar ayrıca Yggdrasil gibi deneysel eşten eşe (peer-to-peer) ağların tehdit aktörleri tarafından benimsenmesinin, altyapılarının dayanıklılığını ve gizliliğini artırmaya yönelik daha geniş bir eğilimin habercisi olabileceği uyarısında bulundu.

Sıkça Sorulan Sorular​

Sandworm ile UAC-0099 bu saldırıda nasıl iş bölümü yaptı?​

UAC-0099, 16 Temmuz 2025'te hedefli kimlik avı e-postasıyla Ukraynalı lojistik firmasına ilk erişimi sağladı ve MATCHWOK ile MythicRatatoskr arka kapılarını konuşlandırdı. Ardından bu erişimi Sandworm'a devretti; Sandworm ise 17 Eylül 2025'te SDelete aracını kullanarak veri silme saldırısını gerçekleştirdi.

MythicRatatoskr arka kapısını diğerlerinden ayıran özellik nedir?​

MythicRatatoskr, komuta ve kontrol sunucusunu Yggdrasil mesh ağı içinde barındırması bakımından öne çıkıyor. ESET araştırmacılarına göre bu, bir devlet destekli tehdit aktörünün Yggdrasil'i bu şekilde kötüye kullandığının bilinen ilk belgelenmiş vakası.

Yggdrasil mesh ağının bu saldırıda kullanılması neden önemli?​

ESET araştırmacıları, Yggdrasil gibi deneysel eşten eşe ağların tehdit aktörleri tarafından benimsenmesinin, altyapılarının dayanıklılığını ve gizliliğini artırmaya yönelik daha geniş bir eğilime işaret edebileceği değerlendirmesinde bulundu.

Sandworm veri silme saldırısını nasıl gerçekleştirdi?​

Sandworm, Active Directory Group Policy mekanizmasını kullanarak SDelete yardımcı programını hedef sisteme dağıttı ve veri silme işlemini bu yolla tamamladı. Sandworm bağlantılı NikoWiper zararlı yazılımının da SDelete'ten türetildiği bilinmektedir.

Rusya yanlısı gruplar arasındaki siber iş birliğine başka örnekler var mı?​

ESET, daha önce Gamaredon ve Turla gruplarının Ukraynalı hedefleri birlikte ele geçirdiğini belgeledi; bu saldırılarda Gamaredon'ın PteroGraphin aracı, Turla'nın Kazuar arka kapısını konuşlandırmak için kullanılmıştı. Ayrıca Gamaredon bağlantılı Pterodo indiricisinin, InvisiMole adlı modüler casus yazılımı dağıtmak için de kullanıldığı tespit edildi.