UAC-0099 evoluciona MatchBoil para atacar empresas ucranianas

El grupo de ciberespionaje UAC-0099 ha dirigido ataques contra empresas ucranianas de transporte, manufactura y energía utilizando MatchBoil, un malware diseñado para recopilar información de los sistemas comprometidos. La firma eslovaca ESET considera probable que el grupo actúe en favor de los intereses de Rusia.

ESET detectó infecciones de MatchBoil en varias empresas de transporte entre julio y agosto de 2025, en una compañía manufacturera en diciembre y en una empresa del sector energético en junio de 2026. Todas las infecciones observadas por la firma se produjeron en Ucrania.

El malware suele distribuirse mediante enlaces maliciosos incluidos en correos electrónicos de phishing. El enlace descarga un archivo comprimido que contiene ficheros capaces de ejecutar MatchBoil en el equipo de la víctima. Una vez instalado, puede recopilar información del sistema, descargar otros programas maliciosos desde un servidor controlado por los atacantes y mantener la persistencia.

Según ESET, MatchBoil estaba en desarrollo al menos desde julio de 2024 y recibió nuevas versiones hasta abril de 2026. Durante ese periodo, UAC-0099 modificó repetidamente el malware para dificultar su detección y análisis, mejorar el engaño a las víctimas y ampliar la información recopilada de los equipos infectados.

CERT-UA documentó públicamente MatchBoil por primera vez en agosto de 2025. En una campaña anterior, el grupo utilizó correos electrónicos que simulaban citaciones judiciales ucranianas para dirigirse contra organizaciones gubernamentales, militares y de defensa. En esa operación, MatchBoil también sirvió para desplegar MatchWok, una puerta trasera que permite ejecutar comandos de forma remota, y Dragstare, un ladrón de información capaz de extraer contraseñas y cookies del navegador, además de archivos del escritorio.

Ni ESET ni CERT-UA han informado de cuántas organizaciones o personas pueden haber sido comprometidas por UAC-0099. La información ha sido publicada por The Record: https://therecord.media/russia-ukraine-malware-transportation.

Fuente: The Record