Οι ερευνητές της ESET κατέγραψαν την εξέλιξη του κακόβουλου λογισμικού MATCHBOIL, ενός προσαρμοσμένου downloader γραμμένου σε C#, τον οποίο χρησιμοποιεί η ομάδα APT UAC-0099, που συνδέεται με τη Ρωσία. Το κακόβουλο λογισμικό χρησιμοποιείται για τη λήψη ενός πρόσθετου κακόβουλου payload από το διακομιστή εντολών και ελέγχου (C&C) της ομάδας, την εγκατάστασή του και τη δημιουργία μηχανισμού διατήρησης της πρόσβασης (persistence) στο παραβιασμένο σύστημα.
Παρότι το MATCHBOIL καταγράφηκε για πρώτη φορά από την CERT-UA τον Αύγουστο του 2025, η έρευνα της ESET δείχνει ότι βρίσκεται υπό ανάπτυξη τουλάχιστον από το 2024. Τα παλαιότερα δείγματα που ανέλυσε η ESET Research χρονολογούνται από τον Απρίλιο του 2024, ενώ τα πιο πρόσφατα από τον Απρίλιο του 2026. Η εξέλιξη των δειγμάτων αποκαλύπτει ότι κάθε νέα έκδοση του downloader είναι πιο εξελιγμένη από την προηγούμενη. Σύμφωνα με την τηλεμετρία της ESET, όλα τα θύματα των εκστρατειών κυβερνοκατασκοπείας που σχετίζονται με το MATCHBOIL και έχουν εντοπιστεί μέχρι σήμερα βρίσκονται στην Ουκρανία και δραστηριοποιούνται σε διάφορους τομείς.
Η ESET εντόπισε δείγματα του downloader σε πολλές εταιρείες μεταφορών κατά την περίοδο από τον Ιούλιο έως τον Αύγουστο του 2025. Το Δεκέμβριο του ίδιου έτους, εντοπίστηκαν δείγματα σε εταιρεία του μεταποιητικού τομέα. Αργότερα, τον Ιούνιο του 2026, η τηλεμετρία της ESET κατέγραψε νέα δείγματα του MATCHBOIL σε εταιρεία του τομέα της ενέργειας.
Η ανάλυση δειγμάτων του MATCHBOIL από τον Απρίλιο του 2024 έως τον Απρίλιο του 2026 από την ESET Research αποκάλυψε πολλαπλές τροποποιήσεις, τόσο στη δομή του κώδικα όσο και στη χρήση του εργαλείου συσκότισης κώδικα .NET Reactor. Οι αλλαγές αυτές υλοποιήθηκαν σε σχετικά σύντομο χρονικό διάστημα, γεγονός που υποδηλώνει ότι οι χειριστές της UAC-0099 καταβάλλουν συστηματικές προσπάθειες για τη βελτίωση του downloader. Στόχος τους δεν είναι μόνο η αποφυγή του εντοπισμού από λύσεις ασφαλείας, αλλά και η περαιτέρω αξιοποίησή του ως βασικού στοιχείου του οπλοστασίου τους σε μελλοντικές επιθέσεις.
«Το κακόβουλο λογισμικό διανέμεται μέσω κακόβουλων συνδέσμων που περιλαμβάνονται σε μηνύματα στοχευμένης απάτης ηλεκτρονικού ψαρέματος (spear phishing). Όταν το θύμα επιλέξει έναν σύνδεσμο, κατεβαίνει ένα αρχείο VBScript, το οποίο με τη σειρά του κατεβάζει και εκτελεί το MATCHBOIL στον υπολογιστή του θύματος. Το MATCHBOIL εξελίχθηκε από έναν downloader που εκτελούσε μία μόνο λήψη σε ένα εργαλείο που μπορεί να επικοινωνεί με τον διακομιστή εντολών και ελέγχου (C&C) κάθε δύο λεπτά. Στα τέλη του 2025, η UAC-0099 πρόσθεσε μια γραφική διεπαφή χρήστη (GUI), η οποία εμφανίζεται όταν ο χρήστης εκτελεί το payload. Στις αρχές του 2026, το εργαλείο μετατράπηκε σε μια λιγότερο εμφανή έκδοση», αναφέρει ο ερευνητής της ESET Fernando Tavella, ο οποίος ανέλυσε το MATCHBOIL.
Για τη φιλοξενία των διακομιστών εντολών και ελέγχου (C&C), η UAC-0099 χρησιμοποιεί εικονικούς ιδιωτικούς διακομιστές (VPS), όπως αυτούς της BitLaunch, καθώς και υπηρεσίες cloud, όπως το Cloudflare, για την απόκρυψή τους. Οι διακομιστές αυτοί χρησιμοποιούν τόσο το HTTP όσο και το HTTPS.
Η UAC-0099 είναι μια ομάδα κυβερνοκατασκοπείας που στοχεύει κρατικούς οργανισμούς, χρηματοπιστωτικά ιδρύματα και μέσα ενημέρωσης στην Ουκρανία. Με βάση τα προφίλ των στόχων της, η ESET εκτιμά, με μέτριο βαθμό βεβαιότητας, ότι η ομάδα ευθυγραμμίζεται με τα ρωσικά συμφέροντα. Παράλληλα, η ESET εκτιμά ότι η UAC-0099 ενδέχεται να λειτουργεί ως μεσίτης αρχικής πρόσβασης (initial access broker – IAB) για τη Sandworm, μια άλλη ομάδα κυβερνοεπιθέσεων που είναι περισσότερο γνωστή για τις καταστροφικές επιθέσεις της στην Ουκρανία.
