I ricercatori ESET hanno documentato l’avanzamento tecnico di MATCHBOIL, un malware sviluppato in C# e utilizzato dal gruppo di cyberspionaggio UAC-0099, allineato agli interessi russi. Il downloader viene impiegato per scaricare dal server C&C del gruppo ulteriori componenti malevoli, installarli e garantirne la persistenza nei sistemi compromessi.
Sebbene il malware sia stato documentato per la prima volta da CERT-UA nell’agosto 2025, le ricerche di ESET indicano che il suo sviluppo risale almeno al 2024. Le prime versioni del codice malevolo analizzate da ESET Research, infatti, risalgono all’aprile 2024, mentre le più recenti sono dell’aprile 2026: ogni nuova iterazione del downloader mostra un livello di sofisticazione superiore rispetto alla precedente.
Tutte le vittime delle attività di cyberspionaggio condotte attraverso MATCHBOIL e rilevate dalla telemetria ESET si trovavano in Ucraina e appartenevano a diversi settori industriali. Tra luglio e agosto 2025, ESET ha rilevato campioni del downloader presso diverse aziende del settore dei trasporti. Nel dicembre dello stesso anno, MATCHBOIL è stato individuato presso un’azienda manifatturiera. Successivamente, nel giugno 2026, la telemetria ESET ha registrato ulteriori campioni del malware, questa volta presso un’azienda del settore energetico.
L’analisi condotta da ESET Research sui campioni di MATCHBOIL individuati tra aprile 2024 e aprile 2026 mostra come UAC-0099 sia intervenuto ripetutamente sul malware, modificandone la struttura e introducendo .NET Reactor, uno strumento di offuscamento utilizzato per rendere il codice più difficile da analizzare e rilevare. Cambiamenti realizzati in un arco temporale relativamente breve che, secondo ESET, indicano la volontà degli attaccanti di rendere MATCHBOIL sempre più difficile da intercettare e, al tempo stesso, di consolidarne il ruolo all’interno del proprio arsenale per attacchi futuri.
«Il malware viene distribuito attraverso link malevoli inseriti in e-mail di spear phishing. Facendo clic sul link viene scaricato un archivio contenente un file VBScript che, a sua volta, scarica ed esegue MATCHBOIL sul dispositivo della vittima – spiega Fernando Tavella, ricercatore ESET che ha analizzato MATCHBOIL -. MATCHBOIL si è evoluto da un downloader progettato per una singola operazione a uno strumento capace di comunicare con il server C&C ogni due minuti. Alla fine del 2025 UAC-0099 ha inoltre introdotto un’interfaccia grafica che compare quando l’utente esegue il payload, sostituita all’inizio del 2026 da una interfaccia meno riconoscibile dall’utente».
UAC-0099 utilizza server privati virtuali, come quelli forniti da BitLaunch, per ospitare i propri server C&C e servizi cloud come Cloudflare per nasconderli. I server utilizzano sia HTTP sia HTTPS.
UAC-0099 è un gruppo che prende di mira organizzazioni governative, istituzioni finanziarie e media, tutti localizzati in Ucraina. Sulla base degli obiettivi selezionati e con un livello medio di confidenza, ESET ritiene che i cybercriminali siano allineati agli interessi russi. Secondo gli esperti ESET, UAC-0099 potrebbe inoltre operare come initial access broker, ottenendo l’accesso iniziale ai sistemi delle vittime per conto di Sandworm, un altro gruppo allineato alla Russia, noto soprattutto per gli attacchi distruttivi condotti in Ucraina.
Per un’analisi più dettagliata e tecnica di MATCHBOIL, è possibile consultare il post di ESET Research ‘MATCHBOIL: New tricks, same old evil intentions’, pubblicato su WeLiveSecurity.com. Per rimanere aggiornati sulle ultime novità di ESET Research, è inoltre possibile seguire i ricercatori su Twitter (oggi X), Bluesky e Mastodon.
