Siber güvenlik şirketi ESET, Ukraynalı bir tahıl şirketine yönelik yıkıcı bir siber saldırının önünü açan MythicRatatoskr adlı zararlı yazılımı ortaya çıkardı. Siber saldırganların sisteme uzaktan erişmesini sağlayan bu yazılım, saldırıyı yönettikleri sunucuyu gizlemek için Yggdrasil adlı özel bir ağ teknolojisinden yararlanıyor. Rusya yanlısı UAC-0099 grubu şirkete ilk erişimi sağladıktan sonra kontrolü yine Rusya yanlısı Sandworm grubuna devretti. Sandworm ise saldırının devamında şirketin verilerini silerek sistemlerine zarar verdi.
Yayımlanan raporda belgelenen bu devir teslim ilk değil: ESET Research, 2025 yılında da Rusya yanlısı Gamaredon’un, yine Rusya yanlısı bir tehdit aktörü olan Turla ile iş birliği yaptığını ortaya çıkarmıştı. Sandworm, GRU’nun 74455 numaralı birimiyle ilişkilendiriliyor. ESET, bilinen hedefleme örüntülerini göz önünde bulundurarak UAC-0099’un da Rusya’nın çıkarlarıyla uyumlu hareket ettiğini değerlendiriyor. ESET ayrıca UAC-0099’un Sandworm için ilk erişim grubu olarak faaliyet gösterebileceği görüşünde.
Saldırıyı inceleyen ESET araştırmacısı Anton Cherepanov yaptığı açıklamada şunları söyledi: “UAC-0099, 16 Temmuz 2025’te Ukrayna’daki bir tahıl lojistik şirketine, zararlı ek içeren bir hedefli kimlik avı (spear phishing) e-postası aracılığıyla ilk erişimi sağladı. Bu e-posta, MATCHWOK arka kapısının yürütme zincirini tetikledi. Bir gün sonra saldırganlar, Yggdrasil mesh ağı içinde barındırılan bir komuta ve kontrol sunucusuyla iletişim kuran MythicRatatoskr’ı devreye aldı. Bu arka kapının başka hiçbir yerde kullanıldığını görmedik; ayrıca bir Linux varyantının da bulunabileceğine dair işaretler tespit ettik. Yggdrasil, deneysel bir yönlendirme şeması kullanan merkeziyetsiz bir mesh ağı; düğümler arasındaki IPv6 iletişimi uçtan uca korunur.
MythicRatatoskr’ı Cherepanov ile keşfeden ESET araştırmacısı Peter Strýček ise şu açıklamayı yaptı: “‘Yggdrasil’, İskandinav mitolojisinde evrenin farklı âlemlerini birbirine bağlayan kutsal ağacın adı. Bu ağaçta, tepesi ile kökleri arasında mesaj taşıyan Ratatoskr adında bir sincap yaşar. Arka kapı Yggdrasil ağında koşuşturan bir haberci rolü üstlendiği için ona MythicRatatoskr adını verdik.”
Sızma sonrası yürütme zinciri, daha önce UAC-0099’la ilişkilendirilen iki zararlı yazılıma, MATCHBOIL indiricisine ve MATCHWOK arka kapısına dayanıyordu. Bu nedenle ESET, saldırının bu aşamasını UAC-0099’a atfediyor. ESET araştırmacıları, iki ay sonra gözlemlenen veri silme faaliyetini ise kullanılan TTP’lere (taktik, teknik ve prosedürler) dayanarak Sandworm’la ilişkilendiriyor. ESET telemetrisi, UAC-0099’un elde ettiği ilk erişimin daha sonra yıkıcı Sandworm operasyonunda kullanıldığını gösteriyor.
MythicRatatoskr; komut çalıştırma, dosya sisteminde gezinme, dosya aktarımı, ekran görüntüsü alma ve proxy gibi standart arka kapı işlevlerini destekliyor. Arka kapı büyük olasılıkla, bağlantıları ele geçirilen ağ üzerinden yönlendiren bir SOCKS5 sunucusu kurmak için kullanıldı. UAC-0099, yalnızca Ukrayna’daki devlet kurumlarını, finans ve medya kuruluşlarını hedef alan bir siber casusluk grubudur. ESET, hedefleme örüntülerine dayanarak grubun Rusya’nın çıkarlarıyla uyumlu olduğunu düşünüyor. Sandworm ise yıkıcı saldırılar gerçekleştiren Rusya yanlısı bir tehdit grubudur.
ESET Research, MythicRatatoskr’a ilişkin bulgularını 18 Eylül 2026’da LABScon’da ve 16 Ekim 2026’da Virus Bulletin konferansında sundu.
