Si parla di:

Toggle

Un’agenda con la foto di un gatto e un promemoria per la pappa quotidiana: è questa, paradossalmente, la copertura scelta a fine 2025 da uno dei gruppi di #cyberspionaggio più persistenti contro le infrastrutture critiche ucraine per camuffare un downloader destinato a installare una #backdoor di #sorveglianza completa. ESET ha pubblicato l’8 ottobre un’analisi che ricostruisce due anni di evoluzione di MATCHBOIL, lo strumento con cui UAC-0099 ha colpito aziende di trasporto, manifatturiere ed energetiche in #Ucraina, in quello che il #report descrive come un allineamento, con confidenza media, agli interessi russi.

Chi è UAC-0099UAC-0099 è un cluster di attività tracciato dal CERT-UA almeno dal giugno 2023, con operazioni che secondo ESET risalgono al 2022. Il gruppo si concentra su cyberspionaggio contro organizzazioni governative, istituti finanziari e media ucraini, e secondo l’analisi potrebbe operare anche come initial access broker per Sandworm, l’unità del GRU russo responsabile di alcuni dei sabotaggi informatici più aggressivi mai documentati contro la rete elettrica ucraina. Oltre a MATCHBOIL, il gruppo dispone di un secondo downloader, LONEPAGE, basato su #PowerShell. Il payload più frequentemente distribuito è MATCHWOK, una backdoor scritta in C# usata in modo esclusivo da UAC-0099, capace di eseguire comandi PowerShell e catturare screenshot dalla macchina infetta.

La catena di infezioneL’accesso iniziale avviene tramite spear phishing: email mirate contengono un link che scarica un archivio con uno script VBScript, che la vittima deve eseguire manualmente per avviare MATCHBOIL. Una volta in esecuzione, il downloader verifica l’assenza di una directory specifica in %LOCALAPPDATA% e raccoglie informazioni identificative della macchina, CPUID, numero di serie del BIOS, prima di effettuare tre richieste HTTPS sequenziali al server di comando e controllo: la prima restituisce un valore numerico, la seconda una risposta in formato simile a HTML con il payload codificato in esadecimale ed estratto tramite espressioni regolari, la terza una stringa di configurazione. Il payload finale, tipicamente MATCHWOK, viene poi reso persistente tramite una voce nella chiave Run del registro o un’attività pianificata.

È la storia di come questa catena si sia affinata nel tempo a rendere il report di ESET particolarmente istruttivo. Nei campioni di aprile 2024, MATCHBOIL era un downloader “one-shot” offuscato con simboli Unicode e una routine XOR artigianale, con persistenza tramite chiave Run e un’attività pianificata denominata Updates\CheckTask; il payload veniva depositato in %LOCALAPPDATA%\DeviceMonitor. A luglio 2025 il gruppo è passato a un’esecuzione tramite task asincroni e ha ampliato la profilazione della vittima, affidando l’avvio del payload alla classe WMI Win32_Process.

Il salto di qualità arriva tra novembre e dicembre 2025: il codice viene riscritto con l’offuscatore commerciale .NET Reactor (Eziriz), che aggiunge virtualizzazione del codice e offuscamento del flusso di controllo, rendendo l’analisi statica molto più onerosa. È qui che compare il travestimento felino: un’interfaccia grafica ingannevole che mostra un’agenda giornaliera, con un refuso che richiama l’acquisto di latticini, si avvia con l’argomento -auto e un mutex Global\PlannerAssistant, mentre il payload reale viene depositato in %LOCALAPPDATA%\MeowCheck\MeowMeowProgramm.exe e comunica con il C2 ogni due minuti tramite un’attività pianificata (UpdateCheckers\DailyPlanner) che si attiva ogni sette minuti. A febbraio 2026 il tema cambia ancora: gli argomenti diventano -plans e -renew, e in uno dei campioni la GUI ingannevole si trasforma in una finta utility di ricerca testo basata su espressioni regolari, più credibile, meno riconoscibile. Ad aprile 2026, con la variante che ESET chiama MATCHBOIL.V2 (descritta anche dal CERT-UA), il malware diventa una DLL caricata da un loader C# dedicato, con payload in %LOCALAPPDATA%\SMTPClient\SMTPClientApplication.exe e persistenza tramite un’attività chiamata Checker nella directory MailClient: il tema del gatto è ormai completamente abbandonato in favore di nomi che mimano software di posta legittimo.

Anti-analisi su misuraOltre all’offuscamento, le versioni più recenti integrano controlli pensati specificamente per evitare le sandbox di analisi automatica. MATCHBOIL legge gli eventi di Windows con ID 6013 (quelli che riportano l’uptime del sistema) tramite la classe EventLogReader, usando pattern sia in inglese che in russo, e si considera “sicuro” solo se trova almeno tre eventi con un uptime di almeno 7.200 secondi, un modo elegante per scartare le macchine virtuali appena avviate tipiche dei sandbox. A questo si aggiunge un controllo Debugger.IsAttached e, nelle varianti più recenti, una verifica della data di installazione del sistema operativo: se Windows risulta installato da meno di dieci giorni, il malware interrompe l’esecuzione, partendo dal presupposto che una macchina così “giovane” sia più probabilmente un ambiente di analisi che una postazione di lavoro reale.

Infrastruttura e vittimePer il comando e controllo, UAC-0099 si appoggia a server privati virtuali, in particolare del provider BL Networks tramite BitLaunch, nascosti dietro Cloudflare e protetti da certificati TLS Let’s Encrypt non riutilizzati tra domini diversi, una pratica operativa che riduce la possibilità di collegare rapidamente infrastrutture diverse tramite pivot sui certificati. Sul fronte delle vittime, ESET non nomina le singole organizzazioni ma conferma attacchi contro più aziende di trasporto nell’estate 2025, un’impresa manifatturiera a dicembre 2025 e un’azienda del settore energetico a giugno 2026, un target set che, unito al possibile ruolo di initial access broker per Sandworm, disegna un interesse operativo coerente con la pressione russa sulle infrastrutture critiche ucraine osservata dall’inizio dell’invasione.

Due righe per i difensoriIl caso MATCHBOIL è un buon promemoria di quanto l’offuscamento commerciale “pronto all’uso”, in questo caso .NET Reactor, stia diventando lo standard anche per gruppi che fino a poco tempo fa si affidavano a routine artigianali facilmente riconoscibili. Per i team SOC che monitorano asset in Ucraina o legati alla catena di fornitura di infrastrutture energetiche e di trasporto regionali, le indicazioni pratiche sono tre: trattare con sospetto l’esecuzione manuale di script VBScript scaricati da link email, specialmente se seguita da attività pianificate con nomi plausibili ma generici (DailyPlanner, Checker, CheckTask); monitorare la creazione di mutex con pattern riconoscibili e chiamate a EventLogReader da processi non amministrativi, un comportamento anomalo per la maggior parte del software legittimo; infine, includere BitLaunch/BL Networks e gli altri hosting VPS a basso costo dietro Cloudflare nelle liste di controllo per il traffico C2 sospetto, specialmente quando il certificato TLS è stato emesso di recente tramite Let’s Encrypt per un dominio appena registrato.

Indicatori di compromissione# Hash file (SHA-1) - ESET Research, MATCHBOIL/MATCHWOK (apr 2024 - apr 2026)
B6569B0050B864C4A0D32326954BC2D3852A3958 PlannerLibrary.dll
A926889BAB31F3C34663D18C05C4E862EF367028 AnimalUpdater.exe
026F892630D0A4FE854A75984695BA99AF0022C4 bootloader.exe
F886B615CB9E23EAD2718FF2A61155ACFB04CE9E PlannerAssistantManager.exe
1E2C4AAC30EDFF86CD9A30BD08B199BCD3D0CCCE PlannerAssistantManager.exe (variante)
C85D28F7D272CE2BBBFB9DAE71D21BF25B8D00FC RegularExpressionExplorer.exe
6D72B56B86FD5ED9BD188C8C88CFC69476F836E7 HelpersLibraries.dll

Domini e infrastruttura C2

virtualdailyplanner[.]pro # dietro Cloudflare, primo avvistamento 2025-11-10
telemetry-conf[.]com # dietro Cloudflare, primo avvistamento 2025-08-12
flycloud-service[.]com # 64.95.10[.]223 - BL Networks/BitLaunch
airarticlegenerate[.]com # 64.95.13[.]210 - BL Networks/BitLaunch

Percorsi e artefatti su disco (per versione)

%LOCALAPPDATA%\DeviceMonitor\ # 2024
%LOCALAPPDATA%\MeowCheck\MeowMeowProgramm.exe # nov-dic 2025 ("tema gattino")
%LOCALAPPDATA%\SMTPClient\SMTPClientApplication.exe # apr 2026 (MATCHBOIL.V2)

Attivita pianificate osservate

Updates\CheckTask
UpdateCheckers\DailyPlanner
MailClient\Checker

Mutex

Global\PlannerAssistant

Riferimento primario

ESET Research - "MATCHBOIL: New tricks, same old evil intentions" (8 ottobre 2026)

welivesecurity.com/en/eset-research/matchboil-new-tricks-same-old-evil-intentions/

Read Time:3 Minute, 31 Second

Ukraine’s national cyber incident response team, CERT-UA, published findings on September 30, 2026 describing a campaign that has already compromised more than 100 legitimate websites to serve a convincing fake of Cloudflare’s familiar “verify you are human” check. The agency tracks the activity as UAC-0277. Rather than exploiting a technical flaw in visitors’ browsers, the campaign relies on a social-engineering trick known as ClickFix, which hands attackers the one thing no browser sandbox can stop: the victim’s own willingness to run a command they were told would prove they’re not a bot.

A Verification Prompt Built to Fool, Not VerifyVisitors who land on one of the compromised sites — CERT-UA says many arrive after searching on Google or DuckDuckGo — are shown the fake check only if they’re on Windows, and never more than twice within a 12-hour window, a limitation that likely helps the campaign stay under the radar of casual observers and automated scanners alike. Instead of running a real CAPTCHA, the page instructs the visitor to open the Windows Run dialog and paste in a command to “prove” they’re human. That single action downloads and silently installs a Windows MSI package pulled from attacker-controlled infrastructure.

The injected code on each hacked site doesn’t hardcode where that MSI comes from. Instead, it reads its operating mode and target domain from a smart contract deployed on the Polygon or Ethereum blockchain — letting the operators redirect every compromised site to new infrastructure from one central place, without having to touch the injected script on any individual victim site. CERT-UA found the script can run in three distinct modes: dormant, quietly logging which site and referring page a visitor came from, or actively displaying the fake verification page.

Three Ways In, One Stealer at the EndResearchers examined three separate installer variants used across the campaign. One drops the LUNEXSTEALER payload directly. A second is more aggressive: it attempts to bypass Windows User Account Control, adds exclusions to Microsoft Defender, and exploits a known flaw (CVE-2023-20598) in a legitimate but vulnerable AMD driver to interfere with security tooling before the stealer runs. A third variant sideloads a malicious DLL through a legitimate utility executable, which then decrypts and launches the stealer in memory. All three establish persistence through a background component that automatically relaunches after reboot, backed by a scheduled task.

What LUNEXSTEALER Actually TakesOnce installed, LUNEXSTEALER harvests saved browser passwords, authentication tokens, cryptocurrency wallet files, and general system information, and it can receive further commands or download additional tools over HTTP and WebSocket connections to attacker infrastructure. On command, it can go a step further and install a companion browser extension, tracked as LUNARAXE, disguised as an innocuous “Microsoft Office Word Editor” add-on. That extension can read cookies, browsing history, bookmarks, and anything typed into web forms, and it’s capable of manipulating open tabs, taking screenshots, altering proxy settings, and executing arbitrary JavaScript on pages the victim visits. A PowerShell component CERT-UA calls NAIVEMESS bridges the extension to the underlying file system, letting it browse, read, write, and launch files, while another module strips security policies from visited pages to make data exfiltration easier.

What Defenders Should DoCERT-UA’s guidance is refreshingly simple and worth repeating to any user: genuine identity or human verification never requires opening the Run dialog, Command Prompt, or PowerShell — full stop. Any page that asks for this should be closed immediately, even on a site the visitor trusts. Organizations can get ahead of the technique with group policy restrictions on the Run dialog for ordinary users, limits on who can install MSI packages without administrative rights, monitoring for installer processes whose command lines contain URLs, Microsoft’s vulnerable driver blocklist enabled, and an allowlist restricting which browser extensions employees can install. CERT-UA is also asking owners of any compromised website to report the incident so investigators can trace how attackers gained write access to the site in the first place — which, for website operators, is really the other half of this story: being used to distribute LUNEXSTEALER means a site’s own CMS or hosting credentials were compromised well before any visitor ever saw the fake prompt.