Ukrayna'daki kritik sektörler, Rus çıkarlarıyla bağlantılı olduğu değerlendirilen siber casusluk gruplarının hedefinde olmaya devam ediyor. Siber güvenlik şirketi ESET'in yayımladığı araştırma, UAC-0099 adlı grubun kullandığı MATCHBOIL zararlı yazılımının zaman içinde nasıl değiştiğini ortaya koydu. Bulgular, grubun özellikle ulaştırma, imalat ve enerji sektörlerindeki kuruluşlara odaklandığını gösteriyor.
ESET'in telemetri verilerine göre MATCHBOIL, Temmuz-Ağustos 2025 döneminde çeşitli ulaştırma şirketlerinde, aynı yılın aralık ayında bir üretim tesisinde, Haziran 2026'da ise enerji sektöründeki bir kuruluşta tespit edildi.
Oltalama e-postalarıyla sisteme sızıyor
C# tabanlı bir indirme aracı olan MATCHBOIL, hedefli oltalama e-postaları üzerinden dağıtılıyor. E-postadaki zararlı bağlantıya tıklayan kullanıcı, içerisinde VBScript dosyası bulunan bir arşiv indiriyor. Bu dosyanın çalıştırılmasıyla MATCHBOIL sisteme yükleniyor ve saldırganların kontrolündeki komuta kontrol (C&C) sunucusundan ek zararlı bileşenler indirilebiliyor.
Yazılımın ilk sürümleri tek seferlik indirme işlemleri gerçekleştirirken, güncel sürümleri iki dakikada bir saldırganların sunucusuyla iletişim kurabiliyor. Araç, sistemde kalıcılık sağlamak için de kullanılıyor.
MATCHBOIL iki yılda önemli ölçüde değişti
İlk kez Ağustos 2025'te Ukrayna'nın siber güvenlik ekibi CERT-UA tarafından belgelenen MATCHBOIL'in geçmişi daha eskiye uzanıyor. ESET'in incelediği örnekler, yazılımın en az Nisan 2024'ten beri geliştirildiğini gösteriyor.
Araştırmacılar, kod yapısındaki değişikliklerin yanı sıra zararlı yazılımın tespit edilmesini zorlaştıran .NET Reactor gibi gizleme tekniklerinin de kullanıldığını belirledi. Kullanıcıya gösterilen grafik arayüzün 2025 sonunda eklenip 2026 başında daha az dikkat çekecek şekilde değiştirilmesi de bu sürecin bir parçası.
Sandworm ile bağlantılı olabilir
ESET, UAC-0099'un Rus çıkarlarıyla uyumlu hareket ettiğini değerlendiriyor. Araştırmacılara göre grup, Ukrayna'da yıkıcı siber saldırılar düzenlemesiyle bilinen Sandworm için hedef sistemlere ilk erişimi sağlayan bir aracı olarak da faaliyet gösteriyor olabilir. Ancak bu ilişki henüz kesinleşmiş değil.
UAC-0099'un saldırı altyapısında BitLaunch üzerinden sağlanan sanal sunucular ve gerçek sunucu adreslerini gizlemek için Cloudflare hizmetleri kullanılıyor. ESET'e göre MATCHBOIL'in kısa aralıklarla güncellenmesi, grubun bu aracı gelecekteki operasyonlarında da kullanmayı planladığına işaret ediyor.