ESET ha ricostruito quasi due anni di evoluzione di MATCHBOIL, downloader in C# associato al gruppo UAC-0099 e impiegato contro organizzazioni ucraine. La telemetria ha rilevato attività nei trasporti nel 2025, nella manifattura alla fine dello stesso anno e nel settore energetico nel giugno 2026.

Dal falso documento alla backdoor

MATCHBOIL viene utilizzato per scaricare, installare e mantenere payload successivi. In molti casi osservati ha distribuito MATCHWOK, una backdoor C# con capacità di spionaggio. Alcune versioni mostravano, se avviate manualmente, una falsa agenda giornaliera con l'immagine di un gatto, mentre il codice malevolo operava in background.

Nel tempo gli sviluppatori hanno rafforzato offuscamento, controlli anti-sandbox e protezioni con .NET Reactor. L'evoluzione indica manutenzione continua e attenzione a eludere analisi e rilevamento, più che una singola campagna isolata.

Attribuzione e ruolo operativo

ESET considera UAC-0099 allineato agli interessi russi e ritiene che possa agire come initial access broker per Sandworm. Questa relazione è una valutazione di intelligence basata su attività osservate e non implica che ogni operazione MATCHBOIL sia direttamente condotta da Sandworm.

Le organizzazioni dovrebbero monitorare eseguibili .NET anomali, persistenze e comunicazioni verso infrastrutture note, rafforzando segmentazione e raccolta dei log. Nei settori industriali, il rilevamento precoce sull'IT è essenziale per impedire che un accesso iniziale si propaghi verso ambienti operativi.