Siber saldırılar hızlanıyor

Siber güvenlik şirketi ESET, Rusya yanlısı UAC-0099 APT grubu tarafından kullanılan özel bir C# indirici olan MATCHBOIL kötü amaçlı yazılımının teknik gelişimini belgeledi. Bu yazılım, komuta ve kontrol (C&C) sunucularından yükleri indirmek, kurmanın ve kalıcılığını sağlamak için tasarlanmıştır. ESET'in telemetri verilerine göre, yazılımın kurbanları Ukrayna'da farklı endüstrilerde faaliyet gösteren kuruluşlardır.

Hedefleme ve operasyon ağı

UAC-0099, Ukrayna'daki devlet kurumlarını, finans kuruluşlarını ve medya kuruluşlarını hedef alan bir siber casusluk grubu olarak tanımlanmaktadır. ESET araştırmacıları, grubun hedefleme kriterlerine dayanarak Rus çıkarlarıyla uyumlu olduğunu değerlendirmektedir. Grubun, Ukrayna'daki yıkıcı saldırılarıyla tanınan Sandworm grubu için ilk erişim sağlayıcısı olarak hareket edebileceği düşünülmektedir.

Dağıtım ve işleyiş

MATCHBOIL, hedeflenen kimlik avı e-postalarındaki kötü amaçlı bağlantılar aracılığıyla yayılmaktadır. Bağlantıya tıklandığında, kurbanın bilgisayarına indirilen arşiv dosyası, MATCHBOIL'i yükleyip çalıştıran bir VBScript dosyası içermektedir. Yazılım, ilk tasarımda tek seferlik bir indirici niteliğindeyken, zaman içinde her iki dakikada bir C&C sunucusuyla iletişim kurabilen bir indiriciye dönüşmüştür.

ESET araştırmacısı Fernando Tavella, yazılımın evrimini şu şekilde açıklamıştır: "MATCHBOIL, yapısal olarak önemli değişikliklere uğramıştır. 2025 yılının sonlarında UAC-0099, kullanıcı yükü çalıştırıldığında görünen bir grafik kullanıcı arayüzü eklemiş, 2026 yılının başlarında ise bu arayüzü daha az dikkat çeken bir versiyona dönüştürmüştür."

Altyapı ve gizleme teknikleri

Grubun operasyonları, BitLaunch gibi sanal özel sunucular ve Cloudflare gibi bulut hizmetlerini kullanarak gizlenmektedir. C&C sunucuları, hem HTTP hem de HTTPS protokollerini desteklemektedir.

Uzun süreli geliştirme

MATCHBOIL, ilk kez Ağustos 2025'te CERT-UA tarafından belgelenmiş olsa da, ESET'in araştırmaları yazılımın en azından 2024'ten beri geliştirilmekte olduğunu göstermektedir. ESET tarafından analiz edilen en eski sürümler Nisan 2024'e, en yenileri ise Nisan 2026'ya uzanmaktadır. Her yeni sürüm, öncekinden daha gelişmiş yetenekler sunmaktadır.

Sektörel hedefler

ESET telemetri verilerinde tespit edilen MATCHBOIL saldırılarının tüm kurbanları, Ukrayna'da faaliyette bulunan kuruluşlardır:

  • Temmuz-Ağustos 2025: Birçok ulaştırma şirketinde tespit
  • Aralık 2025: Bir imalat şirketinde görüldü
  • Haziran 2026: Enerji sektöründeki bir şirkette yeni örnekler kaydedildi

Teknik gelişim

ESET Research'ün Nisan 2024'ten Nisan 2026'ya kadar yaptığı inceleme, kod düzeyinde yapıdan .NET Reactor gizleme aracının kullanımına kadar birçok değişikliği ortaya çıkarmıştır. Bu değişikliklerin nispeten kısa bir sürede hayata geçirilmesi, UAC-0099'un operasyonlarının aktif ve kapasiteli olduğunun göstergesidir.