Siber güvenlik firması ESET, Rusya yanlısı siber casusluk grubu UAC-0099 tarafından kullanılan ve Ukrayna'daki kritik sektörleri hedef alan MATCHBOIL adlı özel bir C# indiricisinin evrimini detaylandıran bir rapor yayımladı. Bu kötü amaçlı yazılım, grubun komuta ve kontrol (C&C) sunucusundan zararlı yükleri indirmek, kurmak ve sistemde kalıcılığını sağlamak için tasarlanmıştır.
ESET'in telemetri verilerine göre, bu saldırıların kurbanları Ukrayna'da ulaştırma, imalat ve enerji gibi çeşitli sektörlerde faaliyet gösteren kuruluşlardır. UAC-0099, Ukrayna'daki devlet kurumları, finans kuruluşları ve medya organizasyonlarını hedef alan siber casusluk faaliyetleriyle tanınmaktadır. ESET, bu grubun hedefleme kriterleri ve yöntemleri göz önüne alındığında, Rusya'nın çıkarlarıyla uyumlu hareket ettiğini ve hatta yıkıcı saldırılarıyla bilinen Sandworm gibi diğer Rusya destekli gruplar için ilk erişim aracıcısı olabileceğini belirtiyor.
MATCHBOIL Nasıl Çalışıyor?
ESET araştırmacısı Fernando Tavella'nın analizlerine göre, MATCHBOIL, hedefli oltalama e-postalarındaki kötü amaçlı bağlantılar aracılığıyla yayılıyor. Kurbanlar bu bağlantılara tıkladığında, MATCHBOIL'i indirip çalıştıran bir VBScript dosyası içeren sıkıştırılmış bir arşiv bilgisayarlarına yükleniyor. Kötü amaçlı yazılım, başlangıçta tek seferlik bir indirici iken, zamanla her iki dakikada bir C&C sunucusuyla iletişim kurabilen daha gelişmiş bir yapıya büründü. Hatta 2025 yılı sonlarında, kullanıcı yükü çalıştırdığında görünen bir grafik arayüz eklenmiş, ancak bu arayüz 2026 başında daha az dikkat çeken bir versiyona dönüştürülmüştür.
UAC-0099, C&C sunucularını barındırmak için BitLaunch gibi sanal özel sunucuları kullanmakta ve izlerini gizlemek amacıyla Cloudflare gibi bulut hizmetlerinden faydalanmaktadır. Bu sunucular hem HTTP hem de HTTPS protokollerini kullanmaktadır. MATCHBOIL, ilk olarak Ağustos 2025'te CERT-UA tarafından belgelenmiş olsa da, ESET'in araştırmaları yazılımın en az 2024 yılından beri geliştirilmekte olduğunu gösteriyor. Nisan 2024'ten Nisan 2026'ya kadar incelenen sürümler, kötü amaçlı yazılımın sürekli olarak geliştirildiğini ve her yeni sürümün bir öncekinden daha sofistike olduğunu ortaya koyuyor. Bu sürekli gelişim, UAC-0099 operatörlerinin bu indirme aracını güvenlik çözümlerinden kaçınmak ve gelecekteki saldırılarda önemli bir araç olarak kullanmak için büyük çaba sarf ettiğini gösteriyor.
