Rusya bağlantılı UAC-0099, 16 Temmuz 2025’te hedefe gönderdiği oltalama e-postasıyla sisteme sızdı ve bu erişimi yıkıcı bir saldırı için kullandı. Grup, kötü amaçlı bir ek taşıyan spear-phishing mesajıyla ilk erişimi elde etti; ek açılınca saldırı zinciri devreye girdi.
Olayı inceleyen araştırmacılar, saldırıda Earth Sirrush adıyla da izlenen UAC-0099’un yeni bir mesh network backdoor dağıttığını belirtti. Bu arka kapı, saldırganların ele geçirdikleri sistemler arasında dayanıklı bir iletişim ağı kurmasına yarıyor ve standart ağ izleme araçlarıyla fark edilmesini zorlaştırabiliyor.
Yeni arka kapı, yıkıcı saldırının parçası oldu
Analizde, teknik akışın ilk adımını kimlik avı e-postasının oluşturduğu vurgulandı. Saldırganlar, zararlı eki çalıştıran hedef sistem üzerinden kalıcılık kurduktan sonra mesh network tabanlı arka kapıyı devreye aldı. Bu yapı, tek bir komuta-kontrol noktasına bağlı kalmadan düğümler arasında haberleşmeye imkan veriyor.
UAC-0099’un kullandığı yöntem, saldırganın başlangıç erişimiyle yetinmediğini, sonrasında ağ içinde daha esnek bir kontrol katmanı kurduğunu gösteriyor. Araştırmacılar, bu yaklaşımın saldırganın operasyonu sürdürmesini kolaylaştırdığını ve olayın yıkıcı etkisini artırdığını aktardı.
Rapor, saldırının 16 Temmuz 2025 tarihinde başladığını ve hedefe ulaşmak için belirli bir kurum veya kullanıcı yerine doğrudan oltalama üzerinden hareket edildiğini ortaya koydu. Kullanılan kötü amaçlı ekin içeriği ya da son aşamadaki yıkım tekniği metinde ayrıntılandırılmadı, ancak zincirin temelini spear-phishing oluşturdu.
UAC-0099 adı, siber tehdit takibinde daha önce de geçen bir kümeyi işaret ediyor. Aynı grup için Earth Sirrush takma adı da kullanılıyor; araştırmacılar bu nedenle faaliyeti tekil bir kampanya olarak değil, izlenen daha geniş bir operasyon çizgisinin parçası olarak ele aldı.