Хакери удосконалюють інструментарій Matchboil для атак на українські організації
Дослідники ESET Research описали розвиток шкідливого завантажувача Matchboil, який використовує пов’язана з рф кібергрупа UAC-0099. Фахівці проаналізували зразки, створені з квітня 2024-го до квітня 2026 року, і зафіксували поступове ускладнення коду та механізмів приховування. Перші публічні зразки Matchboil CERT-UA описала ще у серпні 2025 року.
Matchboil доставляє на заражений комп’ютер інше шкідливе ПЗ, встановлює його та забезпечує подальший запуск. Спочатку жертвам надсилають підроблені листи зі шкідливими посиланнями. Посилання завантажує архів із VBScript, який після ручного запуску встановлює Matchboil. Основним корисним навантаженням у більшості досліджених випадків був бекдор Matchwok, який використовує група UAC-0099.
За даними ESET, усі жертви Matchboil, які потрапили в телеметрію компанії, перебували в Україні. У липні-серпні 2025 року шкідливе ПЗ виявляли в кількох транспортних компаніях, у грудні – у виробничій компанії, а в червні 2026 року – в енергетичній. UAC-0099 атакує українські державні організації, фінансові установи та медіа й, за оцінкою ESET із середнім рівнем упевненості, пов’язана з російськими інтересами.
За два роки Matchboil змінився з одноразового завантажувача на інструмент, який може повторювати зв’язок із командним сервером кожні дві хвилини та отримувати нове навантаження. У новіших версіях з’явилися перевірки на пісочниці та налагоджувачі, а для ускладнення аналізу оператори перейшли від власних методів обфускації до .NET Reactor.
У найновішому знайденому ESET зразку від квітня 2026 року Matchboil вперше має формат DLL і запускається через власний C#-завантажувач. Він також перевіряє вік інсталяції Windows: якщо операційну систему встановили менш ніж 10 днів до запуску, шкідливе ПЗ завершує роботу. Це одна з ознак того, що UAC-0099 продовжує адаптувати інструмент під майбутні атаки.
Джерело: KO
Поділитися