UAC-0099’dan Ukrayna’ya ASHVEIN RAT ile Gizli HTML Komutları

Ukrayna hükümet birimlerini hedef alan UAC-0099 adlı siber tehdit aktörü, daha önce bilinmeyen ASHVEIN RAT saldırıları ile gündemde. Bu gelişmiş uzaktan erişim truva atı (RAT) ve bilgi hırsızı yazılım, siber casusluk faaliyetlerinde yeni bir aşamayı temsil ediyor. Özellikle komutlarını görünmez HTML öğeleri arasına gizleyerek standart güvenlik kontrollerinden kaçınmasıyla dikkat çekiyor. Güvenlik analistleri, bu yazılımın Ukrayna’daki kritik altyapıyı ve devlet personelini hedef alma kapasitesine sahip olduğunu belirtiyor.

UAC-0099’un Kökenleri ve Evrimi

UAC-0099, 2022 yılının ortalarından bu yana Ukrayna’ya karşı yoğun siber saldırılar düzenleyen, Rusya ile bağlantılı olduğu düşünülen bir tehdit aktörü. Grup, Ukrayna hükümeti, savunma, sınır muhafız ve lojistik kurumlarını hedef alarak ülkenin direncini zayıflatmayı amaçlıyor. İlk olarak 2023 Haziran’ında Ukrayna Bilgisayar Acil Durum Müdahale Ekibi tarafından belgelenen UAC-0099, tam ölçekli Rus işgalinin hemen ardından faaliyetlerine başlamıştı.

Bu siber casusluk ekibi, zamanla araç setini sürekli genişletmiş ve saldırı yöntemlerini çeşitlendirmiştir. Başlangıçta PowerShell ve Go tabanlı araçlar kullanırken, son dönemde C# ve .NET Reactor korumalı, steganografik görüntü dosyalarında gizlenmiş ikili dosyalara geçiş yaptığı gözlemlendi. Bu geçiş, grubun siber operasyonlarındaki profesyonelleşme ve gizliliği artırma çabasını gösteriyor. Önceki dönemlerde LONEPAGE, THUMBCHOP, CLOGFLAG gibi zararlı yazılımlar kullanırken, 2024-2025 yıllarında MATCHBOIL, MATCHWOK ve DRAGSTARE gibi daha sofistike araçlara yöneldi. En son olarak da ASHVEIN, grubun genişleyen ve sürekli güncellenen siber silah deposuna eklendi.

ASHVEIN RAT’ın Teknik İşleyişi

Geliştiricileri tarafından “TelemetryBrowser” olarak anılan ASHVEIN, kimlik bilgisi hırsızlığı, sistem izleme ve uzaktan kontrol yeteneklerini tek bir pakette birleştiriyor. Bu yazılımın en belirgin teknik özelliği, komut ve kontrol (C2) iletişimlerini şifreli bir biçimde gerçekleştirmesi ve talimatlarını görünmez HTML öğeleri içine gizlemesidir. Bu benzersiz gizleme tekniği, geleneksel ağ ve uç nokta güvenlik çözümlerinin tespitini zorlaştırarak kötü amaçlı faaliyetin daha uzun süre fark edilmeden kalmasını sağlıyor.

ASHVEIN, Google Chrome ve Mozilla Firefox tarayıcılarından kullanıcı kimlik bilgilerini çalabiliyor. Ayrıca GDI tabanlı ekran görüntüsü alma, dosya listeleme ve dosya transferi yapma, PowerShell uzaktan kabuk yürütme ve sistem parmak izi alma gibi geniş bir casusluk yeteneği yelpazesine sahip. Bazı varyantları, yedek bir mekanizma olarak GitHub tabanlı bir “dead drop resolver” kullanırken, teslimat yöntemleri arasında DLL sideloading, VHD kapsayıcıları ve özel .NET dropper’lar bulunuyor. Bu çok yönlü dağıtım stratejisi, saldırganların farklı sistemlere sızma şansını artırıyor.

Siber Tehdit Aktörlerinin Gelişen Arsenali

UAC-0099’un zararlı yazılım arsenalindeki bu sürekli evrim, siber savaşın dinamiklerini açıkça ortaya koyuyor. Grubun 2022’den 2026’ya kadar kullandığı zararlı yazılımların listesi, siber tehdit aktörlerinin ne denli hızlı adapte olduğunu gösteriyor: LONEPAGE, THUMBCHOP, CLOGFLAG, SEAGLOW, OVERJAM gibi erken dönem araçlarından sonra MATCHBOIL, MATCHWOK, DRAGSTARE gibi daha karmaşık C# tabanlı yazılımlara geçildi. 2025’in son çeyreğinde ASHVEIN ortaya çıkarken, 2026 başlarında BadPaw ve MeowMeow, ardından LUNCHPOKE, BURNYBEAR ve MATCHBOIL.V2 gibi yenilenmiş araçlar devreye girdi. Bu süreklilik, grubun hedef sistemlerde kalıcılığını artırma ve tespit edilme riskini azaltma çabasının bir göstergesidir.

DRAGSTARE ile ASHVEIN arasında belirgin işlevsel örtüşmeler bulunsa da, aralarında önemli farklılıklar da mevcuttur. Her iki yazılım da kimlik bilgisi hırsızlığı, ekran görüntüsü alma, dosya toplama ve WMI parmak izi alma yeteneklerine sahip. Ancak DRAGSTARE, “NordDragon” geliştirici hesabı tarafından derlenmiş, Chrome ve Firefox’u hedeflemekte ve sanal makine karşıtı kontroller ile alt ağ taraması içermektedir. ASHVEIN ise farklı bir paketleme yaklaşımı kullanıyor. Bu örtüşen işlevsellik ancak farklı derleme ortamları, tehdit aktörünün saldırı kapasitesini genişletmek için birden fazla geliştirme yolu izlediğini düşündürüyor.

Ukrayna’ya Yönelik Siber Casusluğun Boyutları

UAC-0099’un Ukrayna hükümet birimlerine yönelik ASHVEIN gibi sofistike araçlarla düzenlediği ASHVEIN RAT saldırıları, bölgesel ve küresel siber güvenlik için ciddi sonuçlar doğuruyor. Bu tür saldırılar, kritik devlet bilgilerinin sızdırılmasına, operasyonel aksaklıklara ve ulusal güvenlik risklerinin artmasına yol açabilir. Özellikle Ukrayna’nın içinde bulunduğu mevcut jeopolitik durum, bu tür siber casusluk faaliyetlerinin yıkıcı potansiyelini katlamaktadır.

Bazı güvenlik firmaları, UAC-0099’un Rusya’nın bilinen ve oldukça yıkıcı Sandworm APT grubuna ilk erişim aracısı olarak hizmet edebileceğini de belirtiyor. Sandworm, Ukrayna’ya karşı gerçekleştirdiği yıkıcı saldırılarla tanınan bir grup. Bu bağlantı, ASHVEIN’in sadece bilgi hırsızlığı yapmakla kalmayıp, gelecekteki daha geniş çaplı ve zarar verici siber operasyonlar için bir köprü görevi görebileceği endişesini artırıyor. Bu durum, siber güvenlik savunmalarının sadece tespit ve engelleme değil, aynı zamanda tehdit aktörlerinin niyet ve kapasitelerini anlama konusunda da derinlemesine bir yaklaşıma ihtiyaç duyduğunu gösteriyor.

Savunma Stratejileri ve Öneriler

UAC-0099 gibi devlet destekli siber tehdit aktörlerinin giderek sofistikeleşen saldırılarına karşı koymak, çok katmanlı ve sürekli güncellenen bir savunma stratejisi gerektirir. Özellikle ASHVEIN gibi komutları görünmez HTML öğelerinde saklayan zararlı yazılımlara karşı, geleneksel imza tabanlı tespit yöntemleri yetersiz kalabilir. Kurumların, davranışsal analiz ve anomali tespiti yapabilen ileri düzey uç nokta koruma (EDR) çözümlerine yatırım yapması kritik önem taşıyor. Ağ trafiği analizi ve C2 iletişimlerini şifreli olsa bile kalıplarından tespit edebilen güvenlik araçları da bir diğer önemli savunma hattıdır.

Personel eğitimleri de siber savunmanın ayrılmaz bir parçasıdır. Oltalama (phishing) saldırılarına ve sosyal mühendislik taktiklerine karşı farkındalık eğitimleri, zararlı yazılımların ilk yayılma vektörlerini engellemek için hayati rol oynar. Ayrıca, tüm sistem ve uygulamaların düzenli olarak güncellenmesi, güçlü ve benzersiz parolalar kullanılması ve çok faktörlü kimlik doğrulamanın (MFA) yaygınlaştırılması temel güvenlik uygulamaları arasında yer almalıdır. Güvenlik ekiplerinin, tehdit istihbaratı raporlarını sürekli takip etmesi ve ortaya çıkan yeni tehdit aktörleri ile onların TTP’leri (taktikleri, teknikleri ve prosedürleri) hakkında bilgi sahibi olması, proaktif bir savunma duruşu için kaçınılmazdır.