Nel corso del conflitto informatico in corso tra Ucraina e attori antagonisti statali, il gruppo noto come UAC‑0099 è tornato alla ribalta con una campagna di cyber‑spionaggio aggiornata e ampliata che vede le sue vittime principali costituite da enti governativi ucraini, organizzazioni di difesa, media ed aziende collegate al complesso industriale della difesa, con attacchi mirati realizzati mediante email di phishing sofisticate che sorprendono l’utente attraverso l’uso di lenti accorgimenti come link abbreviati o archivi doppi (double‑zip) contenenti file HTA o shortcut LNK con estensioni camuffate per ingannare l’esecuzione.
Secondo CERT‑UA, l’allerta rilasciata il 6 agosto 2025 descrive un’operazione in cui le email inviate da indirizzi tipo ukr.net reclamano una "convocazione in tribunale" e contengono un link abbreviato (tipicamente tramite Cuttly) che punta a un archivio estratto due volte contenente un file HTA; l’user apre il file HTA, che contiene un VBScript offuscato il quale crea un “scheduled task” persistente e lancia un loader chiamato MATCHBOIL, un programma scritto in C#, che scarica e installa ulteriori malware chiamati MATCHWOK (una backdoor capace di eseguire comandi PowerShell e restituire i risultati via HTTP POST) e DRAGSTARE (uno stealer ideato per raccogliere screenshot, file con estensioni “.docx”, “.xls”, “.pdf”, documenti VPN e RDP dalle cartelle Desktop/Documenti/Download, cookie e password di browser).
Fonti ucraine come CERT‑UA riportano che le nuove famiglie MATCHBOIL, MATCHWOK e DRAGSTARE rappresentano un’evoluzione del precedente toolkit, evidenziando come il gruppo UAC‑0099 ora disponga di un loader .NET più robusto, diversificando il portafoglio di malware rispetto al passato, quando dominava il malware VBS denominato LONEPAGE, distribuito con doppie estensioni LNK o file HTA su archivi RAR auto‑estraenti o ZIP exploitanti la vulnerabilità CVE‑2023‑38831 di WinRAR.
Rapporti internazionali, in particolare Deep Instinct e SOC Prime, già documentavano una campagna iniziata nel 2023 che impiegava una catena di infezione basata su phishing con allegati RAR SFX o file LNK doppiamente estesi, che ingannavano gli utenti facendoli eseguire PowerShell mascherato da WordPad, con payload LONEPAGE distribuito come script VBS che crea una scheduled task con periodicità di circa tre minuti, apre un documento decoy (convocazione a un tribunale) e si connette via HTTP POST con un server C2 per eseguire comandi, esfiltrare output e raccogliere dati. Quella versione iterava le istruzioni PowerShell encode‑decode, e raccoglieva informazioni di sistema e screenshot da inviare al C2 tramite form HTTP.
Nel passaggio evolutivo documentato fra dicembre 2024 e i primi mesi del 2025, CERT‑UA ha segnalato cambiamenti strutturali: LONEPAGE ora opera tramite due file (un payload 3DES‑encryptato e un eseguibile .NET che lo decripta ed esegue in memoria), la periodicità degli scheduled task cambia (quattro minuti per la variante HTA), e il traffico C2 sfrutta Cloudflare per nascondere l’infrastruttura di controllo.
In aggiunta, fonti ucraine come lo SSSCIP (State Service of Special Communications and Information Protection) evidenziano che il pattern osservato nel H1 2023 includeva una crescita di attacchi phishing, malware via email, e la strategia "once a victim, always a victim", ossia la rivisitazione periodica di reti già compromesse. UAC‑0099 risulta tra i threat actor più attivi per numero di eventi registrati da CERT‑UA, insieme a Gamaredon (UAC‑0010) e Sandworm (UAC‑0082). L’SOC analizza e produce regole Sigma mappate su MITRE ATT&CK per le tecniche T1566 e T1053 ecc.
Infine, indicatori di compromissione (IOC) associati alla campagna LONEPAGE e WinRAR includono SHA‑256 riferimenti, indirizzi IP C2 come 196.196.156[.]2 e 2.59.222[.]98, e hash di file SFX, LNK, VBS e di decoy documenti; per la più recente campagna MATCHBOIL/MATCHWOK/DRAGSTARE, CERT‑UA ha indicato diversi nuovi sample, ma l’elenco completo è disponibile esclusivamente sul sito CERT‑UA (in ucraino).
Commenti
Posta un commento