Siber güvenlik şirketi ESET, Rusya yanlısı UAC-0099 APT grubu tarafından kullanılan özel bir C# indirici olan MATCHBOIL berbat maksatlı yazılımının evrimini belgeledi. Bu berbat maksatlı yazılım, kümenin C&C sunucusundan bir yük indirmek, onu yüklemek ve kalıcılığını sağlamak için kullanılıyor. ESET’in telemetri bilgilerinde tespit ettiği kurbanlar, Ukrayna’da çeşitli dallarda faaliyet gösteriyor.
UAC-0099, Ukrayna’daki devlet kurumlarını, finans kuruluşlarını ve medya kuruluşlarını amaç alan bir siber casusluk kümesi. Hedefleme kriterlerine dayanarak ESET, kümenin Rus çıkarlarıyla uyumlu olduğunu; UAC-0099’un, Ukrayna’daki yıkıcı hücumlarıyla tanınan ve yeniden Rusya ile uyumlu bir diğer küme olan Sandworm için birinci erişim aracısı olarak hareket edebileceğini düşünüyor.
MATCHBOIL’i tahlil eden ESET araştırmacısı Fernando Tavella yaptığı açıklamada şunları paylaştı: “Kötü maksatlı yazılım, maksatlı oltalama e-postalarındaki berbat maksatlı kontaklar aracılığıyla dağıtılıyor. Temasa tıklandığında, kurbanın bilgisayarına MATCHBOIL’i indirip çalıştıran bir VBScript belgesi yükü içeren bir arşiv evrakı indirilir. MATCHBOIL, tek seferlik bir indiriciden her iki dakikada bir C&C sunucusuyla bağlantı kurabilen bir indiriciye dönüşmüştür; 2025 yılının sonlarında UAC-0099, kullanıcı yükü çalıştırdığında görünen bir grafik kullanıcı arayüzü eklemiştir. Bu arayüz, 2026 yılının başlarında daha az dikkat çeken bir versiyona dönüştürülmüştür.”
UAC-0099, C&C sunucularını barındırmak için BitLaunch üzere sanal özel sunucuları ve bunları gizlemek için Cloudflare üzere bulut hizmetlerini kullanıyor. Bu sunucular hem HTTP hem de HTTPS kullanıyor.
MATCHBOIL, birinci olarak Ağustos 2025’te CERT-UA tarafından belgelenmiş olsa da ESET araştırmaları, yazılımın en azından 2024 yılından beri geliştirilmekte olduğunu gösteriyor. ESET Araştırma grubunun tahlil ettiği berbat emelli yazılımın en eski sürümleri Nisan 2024’e, en yenileri ise Nisan 2026’ya aittir; indiricinin her yeni sürümü bir evvelkinden daha gelişmiştir. ESET’in telemetri bilgilerinde tespit ettiği MATCHBOIL siber casusluk taarruzlarının tüm kurbanları, Ukrayna’da çeşitli dallarda faaliyet gösteren kuruluşlardı. Temmuz-Ağustos 2025 arasında ESET, birçok ulaştırma şirketinde bu indiricinin örneklerini tespit etti. Tıpkı yılın Aralık ayında ise bir imalat şirketinde görüldü. Daha sonra, Haziran 2026’da ESET telemetri bilgileri, bu defa güç kesimindeki bir şirkette yeni MATCHBOIL örneklerini kaydetti.
ESET Research’ün Nisan 2024’ten Nisan 2026’ya kadar MATCHBOIL örnekleri üzerinde yaptığı inceleme, kod seviyesindeki yapıdan .NET Reactor gizleme aracının kullanımına kadar birçok değişikliği ortaya çıkardı; bunların tümü nispeten kısa bir müddette hayata geçirildi. Bu durum, UAC-0099 operatörlerinin indirme aracını geliştirmeye büyük ilgi duyduklarını göstermektedir; bu ilgi, yalnızca güvenlik tahlilleri tarafından tespit edilmekten kaçınmakla kalmayıp, gelecekteki hücumlarda araç setlerinin kıymetli bir modülü olarak kullanmak gayesiyle da ortaya çıkmaktadır.
Kaynak: (BYZHA) Beyaz Haber Ajansı
