MATCHBOIL: nuevos trucos, las mismas intenciones maliciosas
WeLiveSecurity (ES) · 8 oct, 18:56
ESET ha documentado la evolución de MATCHBOIL, un downloader en C# utilizado por el grupo APT UAC-0099 (alineado con intereses rusos) para descargar y ejecutar payloads en sistemas comprometidos. Aunque fue documentado por primera vez en agosto de 2025, análisis de marcas de compilación sugieren que su desarrollo comenzó en abril de 2024, con versiones analizadas hasta abril de 2026. Las variantes más recientes incorporan técnicas avanzadas de ofuscación y detección de análisis, demostrando mejora continua del malware.
MATCHBOIL se distribuye mediante enlaces en correos de spearphishing que descargan scripts VBScript encargados de ejecutar el malware. Durante su ejecución, verifica la existencia de directorios específicos en %LOCALAPPDATA% para instalar el payload, recopila información del sistema (CPUID, número de serie del BIOS) y realiza tres solicitudes HTTPS al servidor C&C con propósitos diferenciados: la primera obtiene un valor numérico que identifica el payload, la segunda descarga el payload codificado en hexadecimal dentro de código HTML, y una tercera completa el proceso. Las versiones más antiguas (anteriores a noviembre de 2025) utilizaban ofuscación mediante caracteres Unicode, mientras que las recientes emplean el ofuscador Eziriz .NET Reactor e incorporan técnicas para detectar entornos sandbox o de análisis.
UAC-0099 es un grupo de ciberespionaje activo al menos desde 2022 que ataca gobiernos, instituciones financieras y medios en Ucrania, posiblemente actuando como broker de acceso inicial para Sandworm. Las víctimas identificadas en telemetría de ESET se ubicaban en Ucrania en sectores de transporte (julio-agosto de 2025), manufactura (diciembre 2025) y energía (junio 2026), lo que refleja diversificación sectorial y geográfica en el tiempo.
Puntos clave
- MATCHBOIL es downloader en C# que descarga, instala y mantiene persistencia de payloads desde servidores C&C
- Distribuido mediante spearphishing con scripts VBScript, requiere ejecución manual de la víctima
- Evolución de técnicas: ofuscación Unicode inicial → ofuscador Eziriz .NET Reactor en versiones recientes
- Incluye detección de sandbox y análisis en variantes más nuevas
- Víctimas en Ucrania en sectores transporte, manufactura y energía