Rusya bağlantılı bir siber casusluk grubu, günlük aktiviteleri planlamak ve kediyi beslemek için sıradan bir uygulama kılığına alınmış versiyonu da dahil olmak üzere, Ukraynalı kuruluşları hedef almak için giderek daha gelişmiş kötü amaçlı yazılımlar kullanıyor.
MATCHBOIL olarak bilinen bu kötü amaçlı yazılım, siber güvenlik araştırmacılarının Rus çıkarlarını desteklemek için faaliyet gösterdiğine inandığı bir hack grubu UAC-0099 ile bağlantılıdır. Grup, a new investigation by ESET enfeksiyonları tespit etmeyi zorlaştırmak için kötü amaçlı yazılımlarını geliştirmeye devam ediyor.
Araştırmacılar, Temmuz ve Ağustos 2025 aylarında birkaç Ukraynalı taşımacılık şirketinde MATCHBOIL’i tespit etti, ardından Aralık ayında bir üretim şirketinde tespit edildi. Haziran 2026’da bir enerji sektörü kuruluşunda başka bir tespit gerçekleşti.
Saldırılar genellikle kötü amaçlı bağlantılar içeren hedefli oltalama e-postalarıyla başlar. Bu bağlantılar, mağdurların kandırılarak çalıştırılabileceği beşikleri içeren arşivlere yol açar ve böylece MATCHBOIL’in bilgisayarlarına yüklenmesini sağlar.
Aktif olduğunda, kötü amaçlı yazılım saldırganların kontrolündeki sunuculara ulaşır ve ek zararlı yazılım indirmeye çalışır. Bu, tehlikedeki sistemlere sürekli erişim sağlayan arka kapıları içerebilir.
2025 sonlarında keşfedilen özellikle sıra dışı bir versiyonda, manuel açıldığında sahte bir günlük planlayıcı gösteriliyordu. Uygulama, programın gerçek amacını gizleyerek bir kedinin beslenmesi için bir program sunuyor gibi görünüyordu.
Kılık, çoğaltılmış alanlar ve yanlış adlandırılmış bir pencere gibi birkaç hata içeriyordu. Araştırmacılar ayrıca kötü amaçlı yazılımın ek bileşenlerini “Meowcheck” adlı bir klasörde ve “MeowMeowProgramm.exe” adlı bir çalıştırılabilir dosyada sakladığını keşfettiler.
Alışılmadık görünüme rağmen, MATCHBOIL giderek daha tehlikeli hale geliyordu. ESET, yeni sürümlerin saldırgan kontrolündeki sunucularla her iki dakikada bir iletişim kurabildiğini ve operatörlerin ek kötü amaçlı yükleri tekrar tekrar kontrol etmesine olanak tanıyordu.
Geliştiriciler ayrıca güvenlik analizini zorlaştırmayı amaçlayan teknikler de tanıttı. Bunlar arasında, kötü amaçlı yazılım araştırmacıları tarafından yaygın olarak kullanılan sanal ortamlar için kontroller ve programın temel kodunu gizlemek için daha güçlü yöntemler yer alıyordu.
2026 başlarına gelindiğinde, saldırganlar belirgin kedi temalı arayüzü daha sıradan görünümlü bir metin arama aracıyla değiştirdi. Daha sonraki sürümler de daha az şüpheli dosya adları ve kurulum yerleri benimsedi.
ESET, MATCHBOIL’in Nisan 2024’ten beri geliştiriliyor olabileceğine inanıyor; bu da Ukraynalı yetkililerin kamuoyuna belgelemesinden bir yıldan fazla bir süre önce.
Araştırmacılar, UAC-0099’un Rus çıkarlarıyla örtüştüğünü orta güvenle değerlendiriyor. Grup ayrıca, yıkıcı siber saldırılarla bağlantılı Rusya ile bağlantılı başka bir saldırı operasyonu olan Sandworm’a da ilk erişim sağlayabilir.
Bulgular, MATCHBOIL’in Ukrayna kuruluşları için hâlâ gelişen bir tehdit olduğunu gösteriyor. Ancak araştırma, kaç sistemin tehlikede olduğunu veya gözlemlenen enfeksiyonların operasyonel aksaklıklara yol açıp açmadığını belirlememektedir.