UAC-0099 grubu Ukrayna sanayisini hedef alıyor

Siber Casuslukta Yeni Araç: MATCHBOILBelgelere göre MATCHBOIL, grubun komuta kontrol (C&C) sunucularından zararlı içerikleri indirmek, kurmak ve sistemde kalıcı hale gelmek için geliştirilmiş özel bir C# indiricisi olarak öne çıkıyor. ESET verileri, bu saldırıların Ukrayna’daki farklı sektörlerden kurumları hedef aldığını doğruluyor. UAC-0099 grubu; devlet kurumları, medya ve finans kuruluşlarına yönelik siber casusluk operasyonlarıyla tanınıyor. ESET, bu grubun Rus çıkarlarıyla hareket ettiğini ve Ukrayna’ya yönelik yıkıcı saldırılarıyla bilinen Sandworm grubu için bir "ilk erişim aracısı" rolü üstlenebileceğini belirtiyor.Oltalama E-postaları ile YayılıyorSistemin işleyişine dair detayları paylaşan ESET araştırmacısı Fernando Tavella, saldırı yöntemini şöyle açıklıyor: “Kötü amaçlı yazılım, hedefli oltalama e-postalarındaki kötü amaçlı bağlantılar aracılığıyla dağıtılıyor. Bağlantıya tıklandığında, kurbanın bilgisayarına MATCHBOIL’i indirip çalıştıran bir VBScript dosyası yükü içeren bir arşiv dosyası indirilir. MATCHBOIL, tek seferlik bir indiriciden her iki dakikada bir C&C sunucusuyla iletişim kurabilen bir indiriciye dönüşmüştür; 2025 yılının sonlarında UAC-0099, kullanıcı yükü çalıştırdığında görünen bir grafik kullanıcı arayüzü eklemiştir. Bu arayüz, 2026 yılının başlarında daha az dikkat çeken bir versiyona dönüştürülmüştür.” Saldırganlar, C&C altyapılarını gizlemek için BitLaunch gibi sanal sunuculardan ve Cloudflare gibi bulut hizmetlerinden yararlanıyor; iletişimde ise HTTP ve HTTPS protokollerini kullanıyorlar.Yıllara Yayılan Gelişim SüreciMATCHBOIL ilk kez Ağustos 2025’te CERT-UA tarafından raporlansa da, ESET’in teknik incelemeleri yazılımın 2024 yılından bu yana geliştirildiğini ortaya koyuyor. Nisan 2024’ten Nisan 2026’ya kadar olan süreçte yazılımın her yeni sürümü, bir öncekine kıyasla daha sofistike hale getirilmiş durumda. ESET telemetrisi, bu süreçte farklı sektörlerin hedef alındığını gösteriyor: * Temmuz-Ağustos 2025: Ulaştırma şirketleri. * Aralık 2025: İmalat sektörü. * Haziran 2026: Enerji sektörü. Araştırmacılar, kod yapısındaki değişikliklerin ve .NET Reactor kullanımının, UAC-0099 operatörlerinin bu aracı tespit edilmekten kaçınmak ve gelecekteki saldırılarda ana bir unsur olarak kullanmak amacıyla sürekli geliştirdiklerini kanıtladığını vurguluyor.