ESET: UAC-0099 Grubu Ukrayna Sanayisine Yönelik Siber Casusluk Yürütüyor

Siber güvenlik şirketi ESET, Rusya yanlısı UAC-0099 APT grubu tarafından kullanılan ve özel bir C# indirici olan MATCHBOIL kötü amaçlı yazılımının evrimini belgeledi. Kötü amaçlı yazılım, grubun komuta kontrol (C&C) sunucusundan bir yük indirmek, onu yüklemek ve kalıcılığını sağlamak amacıyla kullanılıyor. ESET’in telemetri verilerinde tespit ettiği kurbanların tamamı, Ukrayna’da çeşitli sektörlerde faaliyet gösteren kuruluşlar.

Hedef Kitle ve Olası Bağlantılar

UAC-0099, Ukrayna’daki devlet kurumlarını, finans kuruluşlarını ve medya kuruluşlarını hedef alan bir siber casusluk grubu olarak tanımlanıyor. Hedefleme kriterlerine dayanarak ESET, grubun Rus çıkarlarıyla uyumlu olduğunu değerlendiriyor. ESET’e göre UAC-0099, Ukrayna’daki yıkıcı saldırılarıyla bilinen ve yine Rusya ile uyumlu bir başka grup olan Sandworm için ilk erişim aracısı olarak hareket edebilir.

MATCHBOIL’i analiz eden ESET araştırmacısı Fernando Tavella, kötü amaçlı yazılımın hedefli oltalama e-postalarındaki bağlantılar aracılığıyla dağıtıldığını belirtti. Bağlantıya tıklandığında kurbanın bilgisayarına MATCHBOIL’i indirip çalıştıran bir VBScript dosyası yükü içeren arşiv dosyası indiriliyor.

“MATCHBOIL, tek seferlik bir indiriciden her iki dakikada bir C&C sunucusuyla iletişim kurabilen bir indiriciye dönüşmüştür; 2025 yılının sonlarında UAC-0099, kullanıcı yükü çalıştırdığında görünen bir grafik kullanıcı arayüzü eklemiştir. Bu arayüz, 2026 yılının başlarında daha az dikkat çeken bir versiyona dönüşmüştür.”

Altyapı ve Gelişim Süreci

UAC-0099, C&C sunucularını barındırmak için BitLaunch gibi sanal özel sunucuları ve bunları gizlemek için Cloudflare gibi bulut hizmetlerini kullanıyor. Bu sunucular hem HTTP hem de HTTPS üzerinden çalışıyor.

MATCHBOIL ilk olarak Ağustos 2025’te CERT-UA tarafından belgelenmiş olsa da ESET araştırmaları, yazılımın en azından 2024 yılından beri geliştirilmekte olduğunu gösteriyor. ESET Araştırma ekibinin incelediği en eski sürümler Nisan 2024’e, en yenileri ise Nisan 2026’ya ait. İndiricinin her yeni sürümü bir öncekinden daha gelişmiş durumda.

ESET telemetri verilerine göre Temmuz-Ağustos 2025 arasında birçok ulaştırma şirketinde MATCHBOIL örnekleri tespit edildi. Aynı yılın Aralık ayında bir imalat şirketinde görülen yazılım, Haziran 2026’da bu kez enerji sektöründeki bir şirkette kaydedildi.

Kod Düzeyindeki Değişiklikler

ESET Research’ün Nisan 2024’ten Nisan 2026’ya kadar MATCHBOIL örnekleri üzerinde yaptığı inceleme, kod düzeyindeki yapıdan .NET Reactor gizleme aracının kullanımına kadar birçok değişikliği ortaya çıkardı. Tüm bu değişiklikler nispeten kısa bir sürede hayata geçirildi. Bu durum, UAC-0099 operatörlerinin indirme aracını geliştirmeye büyük ilgi duyduğunu gösteriyor. Söz konusu ilgi, yalnızca güvenlik çözümleri tarafından tespit edilmekten kaçınmayı değil, aynı zamanda aracın gelecekteki saldırılarda araç setinin önemli bir parçası olarak kullanılmasını da amaçlıyor.

Kaynak: Beyaz Haber Ajansı