UAC-0099 Targets Ukrainian Government Personnel With ASHVEIN RAT Hiding Commands in HTML
The Hacker News · 8 oct, 17:26
El grupo ruso UAC-0099 ha desplegado ASHVEIN, un malware .NET que roba credenciales y actúa como RAT contra personal del gobierno ucraniano, ocultando comandos en elementos HTML invisibles. El grupo ha expandido su arsenal de herramientas y recientemente empleó una técnica llamada GuardBreaker que inyecta un prompt malicioso en código VBScript para sabotear análisis asistido por IA, obligando a los LLM a procesar solicitudes sobre armas nucleares y eludir controles de seguridad.
UAC-0099, alineado con Rusia, ha evolucionado desde herramientas basadas en PowerShell y Go hacia binarios compilados en C# y .NET protegidos con .NET Reactor. ASHVEIN (denominado internamente "TelemetryBrowser") combina robo de credenciales de Chrome y Firefox, captura de pantallas basada en GDI, enumeración de archivos, ejecución de shell remoto PowerShell y comunicaciones C2 cifradas. La entrega utiliza múltiples vectores: DLL sideloading, contenedores VHD y droppers .NET dedicados como AnswerFromPolice, que suplanta un documento de respuesta de la Policía Nacional de Ucrania para aumentar la credibilidad.
En una novedad táctica, UAC-0099 utilizó GuardBreaker, una técnica que inserta un prompt pidiendo instrucciones para fabricar armas nucleares en scripts VBScript malicioso para disparar los mecanismos de seguridad de LLM y sabotear análisis asistido por IA. La evolución muestra mejoras defensivas: MATCHBOIL verifica entornos virtuales y compara fechas de instalación del SO con timestamps de artefactos. El objetivo se ha expandido desde organismos gubernamentales y militares hacia operadores de logística civil e infraestructuras que abastecen Ucrania.
Puntos clave
- ASHVEIN usa steganografía de imágenes, GitHub como fallback C2 dead drop resolver, y oculta comandos en HTML invisible
- Cinco builds compiladas entre 8 y 23 de octubre de 2025 en tres variantes de empaquetamiento distintas
- GuardBreaker injecta prompts maliciosos en VBScript para sabotear análisis de LLM como contramedida defensiva
- Herramientas incluyen MATCHBOIL (downloader C#), LUNCHPOKE (suplanta plugin Notepad++), BadPaw/CINDERBLOT (loader .NET)
- Objetivo expandido: gobierno, defensa, aduanas, logística civil e infraestructuras críticas ucranianas