Selamlar,
ESET Research, 22 Ekim 2026'da yayımladığı raporda daha önce belgelenmemiş bir arka kapıyı anlattı: MythicRatatoskr. Go ile yazılmış bu araç, C2 sunucusunu Yggdrasil adlı deneysel bir mesh (örgü) ağının içinde barındırıyor. UAC-0099 ilk erişimi aldıktan sonra erişim Sandworm'a devredilmiş; Sandworm da 17 Eylül 2025'te Active Directory Group Policy üzerinden SDelete ile veri silme saldırmış. Bu konu, raporun savunma odaklı Türkçe özeti.
Konuda anlatılacaklar
- Olayın zaman çizelgesi
- Yggdrasil nedir, neden seçilmiş olabilir?
- MythicRatatoskr yetenekleri
- Barındırma ve kalıcılık izleri
- Savunma tarafında ne aranmalı?
1. Zaman çizelgesi (ESET)
- 16 Temmuz 2025: UAC-0099, Ukrayna'daki bir tahıl lojistik firmasına spearfishing ile girdi; MATCHBOIL/MATCHWOK zinciri.
- 17 Temmuz 2025: MythicRatatoskr dağıtıldı; ardından SOCKS5 proxy.
- 17 Eylül 2025: Sandworm, SDelete + GPO ile yıkıcı veri silme.
2. Yggdrasil nedir?
Yggdrasil, uçtan uca korumalı IPv6 üst katmanı kuran merkezi olmayan bir mesh ağdır. Her düğüm kendi Ed25519 anahtar çiftini üretir; adres 200::/7 aralığından türetilir. Anonimlik hedefi değildir. MythicRatatoskr, gömülü genel eş (peer) listesinden rastgele üç eş seçip ağa katılıyor; C2 ile HTTPS/443 üzerinden JSON konuşuyor. Ağ güvenlik araçları klasik C2 IP'si göremeyebilir; halka açık eş adreslerini engellemek ise uygulanabilir bir azaltımdır.
3. Yetenekler
ESET'e göre komutlar arasında shell (cmd.exe), dosya yükleme/indirme, ekran görüntüsü, dizin gezinme, yerel port açma (expose) ve ters SOCKS5 proxy var. Bazı örneklerde 10 dakikalık başlangıç gecikmesi var (tespiti zorlaştırmak için). Yapılandırma AES-256-CFB ile şifreli; kalıcılık Windows servisi ieupdate üzerinden.
4. Barındırma izleri
Örnek yollar (ESET tablosu):
Kod:
C:\windows\system32\updater.exe
C:\Windows\system32\krbtman.exe
C:\windows\system32\windowsdefendersvc.exe
%localappdata%\Microsoft\OneDrive\OneDriveLiveUpdater.exe
Yapilandirma: C:\Windows\Temp\.updatecache5. Savunma tarafında ne aranmalı?
- Yggdrasil genel eş adreslerine (tls:// ve quic://) giden beklenmeyen çıkış trafiği.
- ieupdate adlı Windows servisi ve yukarıdaki dosya yolları.
- 127.0.0.1:33690 üzerinde dinleyen SOCKS5 (ESET'in gördüğü ayrı proxy aracı).
- PowerShell ile %temp%\temporarydoc.txt benzeri görevler (MATCHBOIL zinciri).
- GPO ile dağıtılan SDelete / beklenmeyen toplu silme.
Kurumunuzda mesh/P2P ağ trafiğini SIEM'de nasıl görünür kılıyorsunuz?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar