UAC-0099 perfecciona el downloader MATCHBOIL y usa el RAT ASHVEIN

El 8 de octubre de 2026 ESET publicó una investigación sobre MATCHBOIL, el downloader que usa el grupo UAC-0099 contra organizaciones ucranianas. Según los investigadores, entre abril de 2024 y abril de 2026 el malware pasó por varias versiones, cada una más sofisticada que la anterior: ofuscación más robusta, controles contra sandbox, un nuevo modelo de ejecución y mecanismos de persistencia que cambian con el tiempo. Ese mismo día The Hacker News informó sobre un RAT llamado ASHVEIN, usado por el grupo contra personal de la administración pública ucraniana, que oculta los comandos dentro de páginas HTML.

Qué ha pasado

UAC-0099 es un grupo de ciberespionaje que ha atacado organismos gubernamentales, instituciones financieras y medios de comunicación en Ucrania. ESET lo considera alineado con los intereses rusos, con un grado de confianza medio; Dark Reading, en el titular de su artículo, habla en cambio directamente de «espías rusos». Según Dark Reading, el grupo perfecciona de forma constante su dropper principal en las campañas contra organizaciones ucranianas.

MATCHBOIL lo describió por primera vez el CERT-UA, el equipo de respuesta a incidentes de Ucrania, en agosto de 2025. Sin embargo, ESET encontró muestras más antiguas que hacen pensar en un desarrollo iniciado ya en abril de 2024. Los investigadores observaron víctimas en Ucrania en los sectores de transporte, manufactura y energía, con actividad registrada hasta junio de 2026.

Sobre ASHVEIN, las fuentes consultadas no ofrecen por ahora más detalles técnicos que los citados: tipo de malware (RAT), objetivo y uso del HTML para ocultar los comandos.

Detalles técnicos de MATCHBOIL

MATCHBOIL es un downloader escrito en C# (.NET): descarga los payloads siguientes, los instala y garantiza su persistencia. Según el análisis de ESET, recogido por Infosecurity Magazine, las versiones se distinguen en cuatro aspectos.

Ofuscación. Las primeras versiones usaban caracteres Unicode no imprimibles y cadenas cifradas para dificultar la lectura del código. Desde finales de 2025 el grupo pasó al ofuscador comercial Eziriz .NET Reactor, que puede aplicar virtualización del código y ofuscación del flujo de control.

Controles antisandbox. También desde finales de 2025 aparecieron, de forma gradual, controles para saber si el programa se ejecuta en un entorno de análisis. Para ESET es la señal de un esfuerzo deliberado contra el análisis manual y la inspección automática.

Modelo de ejecución. Las primeras muestras descargaban el payload una sola vez. Una versión de finales de 2025, en cambio, permanece activa con un temporizador de dos minutos, para poder obtener un payload más reciente del servidor de mando y control.

Persistencia. El mecanismo cambia con el tiempo:

• muestras de 2024: un valor en la clave de registro Run de Windows junto con una tarea programada;
• versión de julio de 2025: solo entradas en la clave Run;
• muestras posteriores: de nuevo tareas programadas.

Camuflaje. Las muestras de finales de 2025, si se ejecutan a mano, muestran una interfaz gráfica que imita una agenda diaria; ESET observó varias incoherencias que hacen poco creíble el disfraz. Una muestra de febrero de 2026 muestra en cambio una utilidad menos llamativa para buscar texto en archivos con expresiones regulares.

Las fuentes no indican el vector de acceso inicial de las campañas más recientes y los artículos consultados no incluyen indicadores de compromiso (hashes, dominios, direcciones).

MITRE ATT&CK (mapeo a partir de los hechos publicados): T1105 (Ingress Tool Transfer), T1547.001 (Registry Run Keys / Startup Folder), T1053.005 (Scheduled Task), T1027 (Obfuscated Files or Information), T1497 (Virtualization/Sandbox Evasion), T1036 (Masquerading).

Impacto para las empresas europeas e italianas

Las fuentes solo citan víctimas en Ucrania. Aun así, el caso interesa a las empresas europeas por dos motivos. Primero, los sectores afectados (transporte, manufactura, energía) son los mismos que la directiva NIS2 considera esenciales o importantes: quien opera en estos sectores con sedes, proveedores o clientes en Ucrania tiene un motivo más para revisar sus sistemas. Segundo, las técnicas descritas (downloader .NET protegido por un ofuscador comercial, controles antisandbox, persistencia con claves Run y tareas programadas) son comunes y la detección en los endpoints debe cubrirlas, sea quien sea el atacante.

ESET concluye que los operadores de UAC-0099 quieren mejorar el downloader no solo para eludir los productos de seguridad, sino también para usarlo como pieza central de su arsenal en futuros ataques.

Qué hacer ya

1. Revisa la persistencia en los equipos Windows: busca tareas programadas y valores en las claves Run creados recientemente que ejecuten binarios .NET sin firmar, sobre todo desde carpetas en las que el usuario puede escribir.
2. Busca conexiones periódicas: un proceso que contacta con el mismo servidor externo a intervalos regulares de unos dos minutos merece un análisis.
3. Trata con cuidado los binarios .NET protegidos: un ejecutable protegido con .NET Reactor no es necesariamente malicioso, pero uno desconocido, recién llegado por correo o descarga, debe analizarse.
4. Limita la ejecución desde las carpetas del usuario con las directivas de control de aplicaciones de Windows, donde sea viable.
5. Comprueba los indicadores: para hashes y dominios consulta la investigación original de ESET y los avisos del CERT-UA, y búscalos en los registros de los últimos meses.
6. Si trabajas con organizaciones ucranianas de los sectores citados, extrema la atención con los adjuntos y programas recibidos por esos canales.

Cómo ayuda ARXDOME

ARX Sentry recoge registros, eventos de seguridad, inventario y cambios en los archivos de ordenadores y servidores y los lleva a las páginas del SOC, donde las nuevas tareas programadas y los procesos sospechosos se hacen visibles. ARX Shield muestra el estado de la protección en cada máquina y permite aislar de la red un equipo sospechoso. ARX Horizon enriquece cada evento con país, operador y listas de amenazas, útiles para valorar los destinos de las conexiones salientes.

Última actualización: 8 de octubre de 2026