UAC-0099 affina il downloader MATCHBOIL e usa il RAT ASHVEIN

L’8 ottobre 2026 ESET ha pubblicato una ricerca su MATCHBOIL, il downloader usato dal gruppo UAC-0099 contro organizzazioni ucraine. Secondo i ricercatori, tra aprile 2024 e aprile 2026 il malware è passato per diverse versioni, ognuna più sofisticata della precedente: offuscamento più robusto, controlli contro le sandbox, un nuovo modello di esecuzione e meccanismi di persistenza che cambiano nel tempo. Nello stesso giorno The Hacker News ha riferito di un RAT chiamato ASHVEIN, usato dal gruppo contro personale della pubblica amministrazione ucraina, che nasconde i comandi all’interno di pagine HTML.

Cosa è successo

UAC-0099 è un gruppo di spionaggio informatico che ha colpito enti governativi, istituzioni finanziarie e media in Ucraina. ESET lo ritiene allineato agli interessi russi, con un grado di confidenza medio; Dark Reading, nel titolo del suo articolo, parla invece direttamente di «spie russe». Secondo Dark Reading il gruppo affina con costanza il suo dropper principale nelle campagne contro le organizzazioni ucraine.

MATCHBOIL è stato descritto per la prima volta dal CERT-UA, la squadra di risposta agli incidenti dell’Ucraina, nell’agosto 2025. ESET ha però trovato campioni più vecchi, che fanno pensare a uno sviluppo iniziato già ad aprile 2024. I ricercatori hanno osservato vittime in Ucraina nei settori trasporti, manifattura ed energia, con attività registrata fino a giugno 2026.

Su ASHVEIN le fonti consultate non danno, per ora, dettagli tecnici oltre a quelli citati: tipo di malware (RAT), bersaglio e uso dell’HTML per nascondere i comandi.

Dettagli tecnici di MATCHBOIL

MATCHBOIL è un downloader scritto in C# (.NET): scarica i payload successivi, li installa e ne garantisce la persistenza. Secondo l’analisi di ESET, riportata da Infosecurity Magazine, le versioni si distinguono per quattro aspetti.

Offuscamento. Le prime versioni usavano caratteri Unicode non stampabili e stringhe cifrate per rendere il codice più difficile da leggere. Dalla fine del 2025 il gruppo è passato all’offuscatore commerciale Eziriz .NET Reactor, che può applicare la virtualizzazione del codice e l’offuscamento del flusso di controllo.

Controlli anti-sandbox. Sempre dalla fine del 2025 sono comparsi, in modo graduale, controlli per capire se il programma è in esecuzione in un ambiente di analisi. Per ESET è il segno di uno sforzo mirato contro l’analisi manuale e l’ispezione automatica.

Modello di esecuzione. I primi campioni scaricavano il payload una sola volta. Una versione della fine del 2025 resta invece attiva con un timer di due minuti, così può recuperare dal server di comando e controllo un payload più recente.

Persistenza. Il meccanismo cambia nel tempo:

• campioni del 2024: un valore nella chiave di registro Run di Windows insieme a un’attività pianificata;
• versione di luglio 2025: solo voci nella chiave Run;
• campioni successivi: di nuovo attività pianificate.

Mascheramento. I campioni della fine del 2025, se avviati a mano, mostrano un’interfaccia grafica che imita un’agenda giornaliera; ESET vi ha notato diverse incongruenze che rendono il travestimento poco credibile. Un campione di febbraio 2026 mostra invece un’utilità meno vistosa per cercare testo nei file con espressioni regolari.

Le fonti non indicano il vettore di accesso iniziale delle campagne più recenti e gli articoli consultati non riportano indicatori di compromissione (hash, domini, indirizzi).

MITRE ATT&CK (mappatura dai fatti riportati): T1105 (Ingress Tool Transfer), T1547.001 (Registry Run Keys / Startup Folder), T1053.005 (Scheduled Task), T1027 (Obfuscated Files or Information), T1497 (Virtualization/Sandbox Evasion), T1036 (Masquerading).

Impatto per le aziende europee e italiane

Le fonti citano solo vittime in Ucraina. Il caso interessa però anche le aziende europee per due motivi. Primo, i settori colpiti (trasporti, manifattura, energia) sono gli stessi che la direttiva NIS2 considera essenziali o importanti: chi opera in questi settori con sedi, fornitori o clienti in Ucraina ha un motivo in più per controllare i propri sistemi. Secondo, le tecniche descritte (downloader .NET protetto da un offuscatore commerciale, controlli anti-sandbox, persistenza con chiavi Run e attività pianificate) sono comuni e vanno coperte dal rilevamento sugli endpoint, chiunque sia l’attaccante.

ESET conclude che gli operatori di UAC-0099 vogliono migliorare il downloader non solo per sfuggire ai prodotti di sicurezza, ma anche per usarlo come parte centrale del loro arsenale negli attacchi futuri.

Cosa fare subito

1. Controlla la persistenza sulle postazioni Windows: cerca attività pianificate e valori nelle chiavi Run create di recente che avviano eseguibili .NET non firmati, soprattutto da cartelle scrivibili dall’utente.
2. Cerca le connessioni periodiche: un processo che contatta lo stesso server esterno a intervalli regolari di circa due minuti merita un’analisi.
3. Tratta con attenzione i binari .NET protetti: un eseguibile protetto da .NET Reactor non è per forza malevolo, ma uno sconosciuto, appena arrivato da posta o download, va analizzato.
4. Limita l’esecuzione dalle cartelle dell’utente con i criteri di controllo delle applicazioni di Windows, dove è sostenibile.
5. Verifica gli indicatori: per hash e domini fai riferimento alla ricerca originale di ESET e agli avvisi del CERT-UA, e cercali nei log degli ultimi mesi.
6. Se hai rapporti con organizzazioni ucraine dei settori citati, alza la soglia di attenzione su allegati e programmi ricevuti da quei canali.

Come aiuta ARXDOME

ARX Sentry raccoglie log, eventi di sicurezza, inventario e modifiche ai file di computer e server e li porta nelle pagine del SOC, dove nuove attività pianificate e processi sospetti diventano visibili. ARX Shield mostra lo stato della protezione su ogni macchina e permette di isolare dalla rete una postazione sospetta. ARX Horizon arricchisce ogni evento con paese, operatore e liste di minacce, utili per valutare le destinazioni delle connessioni in uscita.

Ultimo aggiornamento: 8 ottobre 2026