Güvenlik uzmanları, 2025 yılında Gamaredon ile Turla arasındaki iş birliğini ortaya çıkardı. Sandworm'un GRU'nun 74455 numaralı birimiyle ilişkilendirildiğini belirten uzmanlar, UAC-0099'un da Rusya'nın çıkarlarıyla uyumlu hareket ettiğini değerlendirdi.
UAC-0099, 16 Temmuz 2025'te Ukrayna'daki bir tahıl lojistik şirketine zararlı ek içeren hedefli kimlik avı e-postası göndererek ilk erişimi sağladı. Bu e-posta MATCHWOK arka kapısının yürütme zincirini başlattı.
Bir gün sonra saldırganlar, Yggdrasil mesh ağı içinde barındırılan komuta ve kontrol sunucusuyla iletişim kuran MythicRatatoskr'ı etkinleştirdi. Uzmanlar bu arka kapının başka bir yerde kullanıldığına rastlamadıklarını ve bir Linux varyantının bulunabileceğine dair izler bulunduğunu aktardı.
Şüpheli grup, Sandworm için ilk erişim grubu olabilir. Sızma sonrası zincir, daha önce UAC-0099'la ilişkilendirilen MATCHBOIL indiricisi ile MATCHWOK'a dayanıyordu; bu nedenle saldırının bu aşaması UAC-0099'a atfedildi. İki ay sonra görülen veri silme faaliyeti ise kullanılan TTP'lere göre Sandworm'la ilişkilendirildi.
Güvenlik telemetrisi, UAC-0099'un sağladığı ilk erişimin daha sonraki yıkıcı Sandworm operasyonunda kullanıldığını gösterdi. MythicRatatoskr; komut çalıştırma, dosya sisteminde gezinme, dosya aktarımı, ekran görüntüsü alma ve proxy işlevlerini destekliyor.
Arka kapının, ele geçirilen ağ bağlantılarını yönlendiren bir SOCKS5 sunucusu kurmak amacıyla kullanıldığı değerlendirildi. Yggdrasil, merkeziyetsiz yapısı ve IPv6 iletişimini uçtan uca korumasıyla tanımlanıyor.
Kaynak: CNN Türk Teknoloji
