UAC-0099 rafinează MATCHBOIL și folosește RAT-ul ASHVEIN

Pe 8 octombrie 2026, ESET a publicat o cercetare despre MATCHBOIL, downloaderul folosit de grupul UAC-0099 împotriva organizațiilor ucrainene. Potrivit cercetătorilor, între aprilie 2024 și aprilie 2026 malware-ul a trecut prin mai multe versiuni, fiecare mai sofisticată decât precedenta: obfuscare mai robustă, verificări împotriva sandboxurilor, un nou model de execuție și mecanisme de persistență care se schimbă în timp. În aceeași zi, The Hacker News a relatat despre un RAT numit ASHVEIN, folosit de grup împotriva personalului din administrația publică ucraineană, care își ascunde comenzile în pagini HTML.

Ce s-a întâmplat

UAC-0099 este un grup de spionaj cibernetic care a vizat instituții guvernamentale, instituții financiare și presa din Ucraina. ESET îl consideră aliniat intereselor Rusiei, cu un grad de încredere mediu; Dark Reading, în titlul articolului său, vorbește în schimb direct despre „spioni ruși”. Potrivit Dark Reading, grupul își perfecționează constant dropperul principal în campaniile împotriva organizațiilor ucrainene.

MATCHBOIL a fost descris pentru prima dată de CERT-UA, echipa de răspuns la incidente a Ucrainei, în august 2025. ESET a găsit însă mostre mai vechi, care sugerează că dezvoltarea a început încă din aprilie 2024. Cercetătorii au observat victime în Ucraina în sectoarele transporturi, producție și energie, cu activitate înregistrată până în iunie 2026.

Despre ASHVEIN, sursele consultate nu oferă deocamdată alte detalii tehnice în afară de cele menționate: tipul de malware (RAT), ținta și folosirea HTML-ului pentru a ascunde comenzile.

Detalii tehnice despre MATCHBOIL

MATCHBOIL este un downloader scris în C# (.NET): descarcă payloadurile următoare, le instalează și le asigură persistența. Potrivit analizei ESET, preluate de Infosecurity Magazine, versiunile diferă sub patru aspecte.

Obfuscare. Primele versiuni foloseau caractere Unicode neimprimabile și șiruri criptate ca să facă codul mai greu de citit. De la sfârșitul lui 2025, grupul a trecut la obfuscatorul comercial Eziriz .NET Reactor, care poate aplica virtualizarea codului și obfuscarea fluxului de control.

Verificări anti-sandbox. Tot de la sfârșitul lui 2025 au apărut, treptat, verificări care stabilesc dacă programul rulează într-un mediu de analiză. Pentru ESET, este semnul unui efort deliberat împotriva analizei manuale și a inspecției automate.

Modelul de execuție. Primele mostre descărcau payloadul o singură dată. O versiune de la sfârșitul lui 2025 rămâne în schimb activă cu un temporizator de două minute, ca să poată obține un payload mai nou de la serverul de comandă și control.

Persistență. Mecanismul se schimbă în timp:

• mostrele din 2024: o valoare în cheia de registru Run din Windows, împreună cu o sarcină programată;
• versiunea din iulie 2025: doar intrări în cheia Run;
• mostrele ulterioare: din nou sarcini programate.

Camuflaj. Mostrele de la sfârșitul lui 2025, dacă sunt pornite manual, afișează o interfață grafică ce imită o agendă zilnică; ESET a observat mai multe incoerențe care fac deghizarea puțin credibilă. O mostră din februarie 2026 afișează în schimb un utilitar mai discret pentru căutarea textului în fișiere cu expresii regulate.

Sursele nu indică vectorul de acces inițial al campaniilor recente, iar articolele consultate nu includ indicatori de compromitere (hashuri, domenii, adrese).

MITRE ATT&CK (corespondență pe baza faptelor raportate): T1105 (Ingress Tool Transfer), T1547.001 (Registry Run Keys / Startup Folder), T1053.005 (Scheduled Task), T1027 (Obfuscated Files or Information), T1497 (Virtualization/Sandbox Evasion), T1036 (Masquerading).

Impactul pentru companiile europene și italiene

Sursele menționează doar victime în Ucraina. Cazul contează totuși și pentru companiile europene, din două motive. În primul rând, sectoarele vizate (transporturi, producție, energie) sunt aceleași pe care directiva NIS2 le consideră esențiale sau importante: cine activează în aceste sectoare și are sedii, furnizori sau clienți în Ucraina are un motiv în plus să își verifice sistemele. În al doilea rând, tehnicile descrise (downloader .NET protejat de un obfuscator comercial, verificări anti-sandbox, persistență prin chei Run și sarcini programate) sunt comune și trebuie acoperite de detecția pe endpointuri, oricine ar fi atacatorul.

ESET concluzionează că operatorii UAC-0099 vor să îmbunătățească downloaderul nu doar ca să scape de produsele de securitate, ci și ca să-l folosească drept piesă centrală a arsenalului lor în atacurile viitoare.

Ce să faci acum

1. Verifică persistența pe stațiile Windows: caută sarcini programate și valori în cheile Run create recent care lansează executabile .NET nesemnate, mai ales din foldere în care utilizatorul poate scrie.
2. Caută conexiunile periodice: un proces care contactează același server extern la intervale regulate de aproximativ două minute merită analizat.
3. Tratează cu atenție binarele .NET protejate: un executabil protejat cu .NET Reactor nu este neapărat malițios, dar unul necunoscut, sosit recent prin e-mail sau descărcare, trebuie analizat.
4. Limitează execuția din folderele utilizatorului cu politicile de control al aplicațiilor din Windows, acolo unde este fezabil.
5. Verifică indicatorii: pentru hashuri și domenii, consultă cercetarea originală ESET și avizele CERT-UA și caută-i în jurnalele din ultimele luni.
6. Dacă lucrezi cu organizații ucrainene din sectoarele menționate, crește nivelul de atenție la atașamentele și programele primite pe aceste canale.

Cum te ajută ARXDOME

ARX Sentry colectează jurnale, evenimente de securitate, inventar și modificări ale fișierelor de pe computere și servere și le aduce în paginile SOC, unde sarcinile programate noi și procesele suspecte devin vizibile. ARX Shield arată starea protecției pe fiecare mașină și îți permite să izolezi din rețea o stație suspectă. ARX Horizon îmbogățește fiecare eveniment cu țara, operatorul și listele de amenințări, utile pentru a evalua destinațiile conexiunilor de ieșire.

Ultima actualizare: 8 octombrie 2026