MythicRatatoskr arka kapısı Yggdrasil ağında gizlendi, Sandworm Ukraynalı tahıl şirketini sildi

ESET araştırmacıları 22 Ekim'de yayımladıkları raporda, Rusya ile bağlantılı iki tehdit grubunun 2025'te adı açıklanmayan bir Ukrayna tahıl lojistik şirketindeki verileri yok etmek için birlikte çalıştığını açıkladı. ESET'e göre UAC-0099, Sandworm için ilk erişim aracısı rolü üstlendi. Saldırganlar bu süreçte, komuta ve kontrol sunucusunu merkezi olmayan Yggdrasil ağında gizleyen ve daha önce belgelenmemiş MythicRatatoskr adlı bir Go arka kapısı kullandı.

Neler oldu?

ESET'in aktardığına göre saldırı Temmuz 2025'te zararlı ek içeren hedefli bir oltalama e-postasıyla başladı. 16 Temmuz'da zamanlanmış bir görev PowerShell yükünü çalıştırdı; bu yük MATCHBOIL indiricisini, o da MATCHWOK arka kapısını sisteme indirdi. 17 Temmuz'da MythicRatatoskr yerleştirildi ve Ağustos'ta yeni örnekler, görünüşe göre bir OpenSSH SFTP sunucusu üzerinden diğer makinelere yayıldı.

17 Eylül 2025'te veri silme aşaması geldi. ESET'e göre SDelete aracı Active Directory Grup İlkesi üzerinden dağıtıldı; şirket bu yöntemi önceki Sandworm operasyonlarıyla ilişkilendiriyor. The Record, Batılı istihbarat servislerinin Rusya askerî istihbaratı GRU'ya bağladığı Sandworm'ün Ukrayna'daki 2015 ve 2016 elektrik kesintileriyle ilişkilendirildiğini hatırlatıyor.

ESET, UAC-0099'un ilk erişimi, Sandworm'ün silme saldırısı ve iki grup arasındaki devir konusunda yüksek güvene sahip olduğunu, ancak MythicRatatoskr'ı hangi grubun yönettiğini belirleyemediğini belirtiyor. UAC-0099'un Rusya ile bağlantısını ise orta güven düzeyinde değerlendiriyor.

Teknik detaylar

MythicRatatoskr, ieupdate adlı bir Windows hizmeti olarak çalışıyor; cmd.exe üzerinden komut çalıştırma, dosya yükleme ve indirme, ekran görüntüsü alma, yapılandırma değiştirme ve ters SOCKS5 vekil sunucu özelliklerine sahip. Yapılandırması AES-256-CFB ile şifreleniyor. ESET, bir yapılandırma yolunun Linux veya Unix sürümünün de bulunabileceğine işaret ettiğini not ediyor.

Yggdrasil, uçtan uca şifreli, deneysel bir IPv6 örgü ağı. Arka kapı, içine gömülü 32 herkese açık eşten rastgele üçünü seçiyor ve ağ içindeki komuta sunucusuna 443 numaralı porttan HTTPS ile bağlanıyor; her çalıştırmada yeni bir Yggdrasil adresi üretiyor. ESET bunu devlet bağlantılı bir aktörün Yggdrasil'i bu şekilde kötüye kullanmasının muhtemelen ilk belgelenmiş örneği olarak tanımlıyor. The Record'a göre bu yöntem saldırgan altyapısının izlenmesini zorlaştırabilir.

Ne yapmalı?

ESET, Yggdrasil trafiği ağ güvenlik araçlarından kaçabildiği için herkese açık Yggdrasil eş adreslerinin engellenmesini uygulanabilir bir önlem olarak öneriyor. Savunma ekipleri ayrıca ieupdate hizmetini, .updatecache yapılandırma dosyalarını ve Grup İlkesi ile dağıtılan SDelete çalıştırmalarını arayabilir. ESET arka kapıyı WinGo/Agent.ZO adıyla tespit ediyor; uztickets[.]com ve egyptanimals[.]com alan adlarını da içeren tam gösterge listesini GitHub deposunda yayımladı.