ESET, Ukraynalı bir tahıl şirketine yönelik yıkıcı siber saldırının önünü açan MythicRatatoskr adlı zararlı yazılımı ortaya çıkardı. Saldırganların sisteme uzaktan erişmesini sağlayan yazılım, saldırıyı yönettikleri sunucuyu gizlemek için Yggdrasil adlı özel bir ağ teknolojisinden yararlanıyor.
ESET araştırmacısı Anton Cherepanov’a göre UAC-0099, 16 Temmuz 2025’te zararlı ek içeren hedefli kimlik avı e-postasıyla şirkete ilk erişimi sağladı ve e-posta MATCHWOK arka kapısının yürütme zincirini tetikledi. Bir gün sonra saldırganlar, Yggdrasil mesh ağı içinde barındırılan bir komuta ve kontrol sunucusuyla iletişim kuran MythicRatatoskr’ı devreye aldı.
Sızma sonrası yürütme zinciri, daha önce UAC-0099’la ilişkilendirilen MATCHBOIL indiricisine ve MATCHWOK arka kapısına dayanıyordu. Araştırmacılar, iki ay sonra gözlemlenen veri silme faaliyetini ise kullanılan taktik, teknik ve prosedürlere dayanarak Sandworm’la ilişkilendiriyor.
MythicRatatoskr; komut çalıştırma, dosya sisteminde gezinme, dosya aktarımı, ekran görüntüsü alma ve proxy gibi standart arka kapı işlevlerini destekliyor. Arka kapı büyük olasılıkla, bağlantıları ele geçirilen ağ üzerinden yönlendiren bir SOCKS5 sunucusu kurmak için kullanıldı. Cherepanov, bu arka kapının başka hiçbir yerde kullanıldığını görmediklerini söyledi.
Belgelenen devir teslim ilk değil: ESET Research, 2025 yılında da Rusya yanlısı Gamaredon’un yine Rusya yanlısı Turla ile iş birliği yaptığını ortaya çıkarmıştı. MythicRatatoskr’a ilişkin bulgular 18 Eylül 2026’da LABScon’da ve 16 Ekim 2026’da Virus Bulletin konferansında sunuldu.
