Aan Rusland gelinkte UAC-0099 groep intensiveert aanvallen op de Oekraïense industrie met MATCHBOIL-downloader
ESET Research onderzocht de evolutie van de MATCHBOIL-malware, een op maat gemaakte C#-downloader ingezet door de aan Rusland gelinkte APT-groep UAC-0099. De malware wordt gebruikt om een payload van de C&C-server van de groep te downloaden, te installeren en op het systeem persistent te maken. MATCHBOIL werd eerst in augustus 2025 door CERT-UA gedocumenteerd, maar uit onderzoek van ESET blijkt dat de malware al sinds 2024 wordt ontwikkeld. De oudste door ESET geanalyseerde versies dateren van april 2024 en de meest recente van april 2026. Elke nieuwe versie is meer gesofisticeerd dan de vorige. De ESET telemetrie zag dat alle slachtoffers van cyberspionage via MATCHBOIL zich in Oekraïne bevonden en actief waren in diverse sectoren.
Van juli tot augustus 2025 zag ESET exemplaren van de downloader bij meerdere transportbedrijven. In december van dat jaar werden ze waargenomen bij een productiebedrijf. In juni 2026, registreerde de telemetrie van ESET opnieuw exemplaren van MATCHBOIL, deze keer bij een bedrijf in de energiesector.
Uit onderzoek van ESET naar MATCHBOIL-samples van april 2024 tot april 2026 werdendiverse wijzigingen waargenomen – van aanpassingen in de codestructuur tot het gebruik van de .NET Reactor-obfuscator. Deze wijzigingen waren allemaal in korte tijd doorgevoerd. Dit wijst op grote interesse van de operatoren achter UAC-0099 om hun downloader te verbeteren en dit niet alleen om detectie door security-soplossingen te omzeilen, maar ook om als basisonderdeel van hun tools bij toekomstige aanvallen te dienen.
“De malware wordt via kwaadaardige links in spearphishing-e-mails verspreid. Door het klikken op de link wordt een archiefbestand gedownload met een VBScript-payload, zo wordt MATCHBOIL op de computer van het slachtoffer gedownload en uitgevoerd. MATCHBOIL evolueerde van een ‘one-shot’-downloader naar een downloader die elke twee minuten met de C&C-server kan communiceren. Eind 2025 kwam daar een grafische gebruikersinterface bij die verschijnt als de gebruiker de payload uitvoert. Begin 2026 werd dit gewijzigd in een minder opvallende versie,” zegt Fernando Tavella, de ESET-onderzoeker die MATCHBOIL analyseerde.
UAC-0099 maakt gebruik van virtuele private servers, zoals BitLaunch, om zijn C&C-servers te hosten en van diensten zoals Cloudflare om deze te verbergen. Deze servers gebruiken zowel HTTP als HTTPS.
UAC-0099 is een cyberspionagegroep die zich richt op overheidsinstanties, financiële instellingen en media in Oekraïne. Op basis van de doelwitten gaat ESET ervan uit dat de groep gelinkt is aan Russische belangen. ESET vermoedt dat UAC-0099 kan optreden als ‘initiële toegang broker’ voor Sandworm, een andere aan Rusland gelinkte groep bekend om zijn destructieve aanvallen in Oekraïne.
Voor een meer gedetailleerde en technische analyse van MATCHBOIL kunt u de blog van ESET Research “MATCHBOIL: New tricks, same old evil intentions”, op www.WeLiveSecurity.com lezen. Volg ESET Research op X, BlueSky en Mastodon voor het laatste nieuws van ESET Research.
Dit artikel is geschreven door een van onze partners. Onze redactie is niet verantwoordelijk voor de inhoud.
