El grupo de ciberespionaje UAC-0099, alineado con los intereses de Rusia, no descansa en su empeño por perfeccionar sus herramientas de ataque contra objetivos en Ucrania. Una reciente investigación de ESET ha puesto de manifiesto la evolución constante de MATCHBOIL, un downloader desarrollado a medida en C# que el grupo emplea desde al menos abril de 2024. El análisis de múltiples variantes a lo largo de dos años revela una hoja de ruta clara de mejora continua en ofuscación, persistencia y evasión de defensas, convirtiendo a este malware en una pieza clave de su arsenal contra los sectores del transporte, la industria manufacturera y la energía en Ucrania.
UAC-0099: un actor persistente que invierte en su propio arsenal
UAC-0099 es un grupo de ciberespionaje activo desde al menos 2022, centrado en organizaciones gubernamentales, instituciones financieras y medios de comunicación ucranianos. Con un nivel de confianza medio, ESET atribuye al grupo una alineación con los intereses rusos. Un aspecto particularmente relevante de su modus operandi es su capacidad para actuar como puerta de entrada inicial para Sandworm, el notorio grupo ruso conocido por sus ataques destructivos. Además de MATCHBOIL, el grupo despliega habitualmente LONEPAGE, un downloader en PowerShell. La continua inversión en el desarrollo de MATCHBOIL, desde sus versiones más rudimentarias hasta las más sofisticadas, subraya la importancia estratégica de esta herramienta para sus operaciones de ciberespionaje.
MATCHBOIL 101: anatomía de un downloader a medida
MATCHBOIL es un downloader programado en C# cuyo objetivo final es descargar, instalar y garantizar la persistencia de un payload adicional en el sistema de la víctima. En la mayoría de los casos, este payload es MATCHWOK, una puerta trasera también exclusiva de UAC-0099 y documentada por CERT-UA.
El proceso de infección comienza con un correo de spearphishing que contiene un enlace malicioso. Al hacer clic, la víctima descarga un archivo comprimido que alberga un script VBScript, que a su vez descarga y ejecuta MATCHBOIL. Para que el proceso tenga éxito, el usuario debe ser engañado para ejecutar manualmente el script, un requisito que el grupo intenta mitigar con ingeniería social.
Una vez en ejecución, el malware realiza una serie de comprobaciones. Primero, verifica si el directorio de instalación del payload ya existe en %LOCALAPPDATA%, en cuyo caso se detiene para evitar duplicados o detección. A continuación, recopila información del sistema (ID de la CPU, número de serie de la BIOS, dirección MAC) para identificar a la víctima en comunicaciones posteriores con el servidor de Comando y Control (C&C).
La comunicación con el C&C se articula en tres solicitudes HTTPS:
- Primera solicitud: Obtiene un valor numérico del servidor. Este valor se emplea como encabezado HTTP en la segunda petición, actuando probablemente como un identificador del payload a descargar o una validación de la legitimidad del cliente.
- Segunda solicitud: La respuesta del servidor, formateada como HTML, contiene un payload codificado en hexadecimal. MATCHBOIL utiliza una expresión regular, que varía según la muestra, para extraerlo y decodificarlo. Este payload es el que se instala en el sistema.
- Tercera solicitud: Recupera una cadena de texto que se guarda como archivo de configuración para el payload instalado. El nombre de este archivo también varía según la muestra.
Finalmente, el downloader establece la persistencia del payload mediante tareas programadas o entradas de registro de Windows, según la variante. La persistencia del propio MATCHBOIL se gestiona a través del VBScript inicial o un loader en C#.
Las claves de la metamorfosis de MATCHBOIL (2024-2026)
ESET ha analizado muestras de MATCHBOIL con marcas de tiempo que abarcan desde abril de 2024 hasta abril de 2026. Aunque CERT-UA documentó públicamente el malware por primera vez en agosto de 2025, las muestras más antiguas demuestran que su desarrollo se remonta a mediados de 2024. La progresión es innegable: cada iteración es más compleja que la anterior, y los cambios abarcan múltiples dimensiones del código.
Del cifrado casero al ofuscador comercial
Las primeras muestras de MATCHBOIL utilizaban técnicas de ofuscación artesanales. Los nombres de las clases y los métodos se renombraban con caracteres Unicode no imprimibles, mientras que las cadenas de texto se cifraban mediante una combinación de operaciones XOR y desplazamientos de bits. Aunque efectivo contra análisis superficiales, este enfoque resultaba relativamente sencillo de invertir para un analista con las herramientas adecuadas.
El salto cualitativo se produjo a finales de 2025, cuando UAC-0099 comenzó a aplicar el ofuscador comercial Eziriz .NET Reactor a sus binarios. Esta herramienta introduce capas de virtualización de código y ofuscación del flujo de control, aumentando exponencialmente la complejidad del análisis tanto estático como dinámico. Todas las muestras posteriores a noviembre de 2025 emplean este ofuscador, lo que demuestra la intención del grupo de elevar las barreras técnicas para los investigadores de seguridad.
Mecanismos de persistencia: un baile entre registros y tareas
Los desarrolladores de MATCHBOIL han mostrado una sorprendente flexibilidad a la hora de elegir sus métodos de persistencia, cambiando de estrategia en prácticamente cada nueva versión:
- 2024: Se utilizaba una combinación de una entrada de registro en la clave Run de Windows y una tarea programada llamada Updates\CheckTask.
- Julio de 2025: Se abandona la tarea programada y la persistencia se logra exclusivamente mediante una entrada en el registro de Windows.
- Finales de 2025: Se retorna al uso de tareas programadas, esta vez bajo el nombre UpdateCheckers\DailyPlanner, que se ejecuta cada siete minutos.
- Abril de 2026: La tarea programada pasa a llamarse Checker, anidada en el directorio MailClient.
Esta rotación constante de mecanismos sugiere un esfuerzo deliberado por evadir los sistemas de detección basados en comportamientos de persistencia conocidos.
Estrategias antianálisis: durmiendo al sandbox
Uno de los aspectos más interesantes de la evolución de MATCHBOIL es la implementación progresiva de técnicas de evasión de entornos controlados. A partir de finales de 2025, el malware incorpora una rutina que consulta los registros de eventos de Windows mediante la clase EventLogReader, filtrando por el ID 6013, que reporta el tiempo de actividad del sistema desde el último arranque.
El código contiene dos expresiones regulares para procesar estos registros: una en inglés y otra en ruso. Si se detectan al menos tres eventos con un tiempo de actividad superior a 7.200 segundos (dos horas), MATCHBOIL asume que no está en un sandbox y procede con su lógica maliciosa. En versiones posteriores, de 2026, se añade una verificación adicional: si la fecha de instalación del sistema operativo tiene menos de 10 días de antigüedad respecto a la ejecución del malware, el proceso se detiene. También se verifica la presencia de un depurador mediante la propiedad IsAttached de la clase Debugger de .NET, un indicador clásico de que el binario está siendo analizado.
La máscara del programa útil: interfaces para engañar a la víctima
Otra innovación significativa aparece a finales de 2025: la inclusión de una interfaz gráfica de usuario (GUI) destinada a engañar a la víctima si el malware se ejecuta manualmente. Inicialmente, la GUI simulaba un planificador diario, aunque con evidentes fallos de diseño que delataban su naturaleza fraudulenta, como la presencia de dos campos de texto titulados Today y un error tipográfico en el nombre de la ventana.
En febrero de 2026, la GUI fue reemplazada por una herramienta de búsqueda en archivos de texto mediante expresiones regulares, un señuelo mucho más verosímil para un usuario que trabaja con documentos. Para que el malware ejecute su verdadera lógica maliciosa, debe ser lanzado con argumentos específicos (-auto en las primeras versiones, -renew en las más recientes). De lo contrario, la GUI se muestra al usuario, ocultando la actividad subyacente.
Infraestructura de red y servidores de C&C
Para alojar sus servidores de Comando y Control, UAC-0099 utiliza servidores privados virtuales (VPS) de proveedores como BitLaunch, operando a través de BL Networks. Para ocultar la infraestructura subyacente y dificultar su derribo, el grupo emplea servicios de proxy inverso como Cloudflare. Las comunicaciones se realizan mediante HTTP y HTTPS, y los certificados TLS utilizados son emitidos por Let’s Encrypt, sin reutilizarse entre diferentes dominios. Dominios como virtualdailyplanner[.]pro y telemetry-conf[.]com han sido identificados como parte de la infraestructura de MATCHBOIL.
Indicadores de compromiso
ESET ha publicado una lista completa de indicadores en su repositorio de GitHub. A continuación se recogen los más relevantes identificados durante el análisis de la evolución del malware.
Archivos (SHA-1)
| SHA-1 | Nombre del archivo | Deteccion ESET | Descripcion |
|---|---|---|---|
| B6569B0050B864C4A0D32326954BC2D3852A3958 | PlannerLibrary.dll | MSIL/Agent.XXC | DLL de MATCHBOIL con logica de C&C y persistencia. |
| A926889BAB31F3C34663D18C05C4E862EF367028 | AnimalUpdater.exe | MSIL/Agent_AGen.DGX | Downloader MATCHBOIL. |
| 026F892630D0A4FE854A75984695BA99AF0022C4 | bootloader.exe | MSIL/Agent.XPZ | Downloader MATCHBOIL. |
| F886B615CB9E23EAD2718FF2A61155ACFB04CE9E | PlannerAssistantManager.exe | MSIL/Agent.XXC | Downloader MATCHBOIL. |
| C85D28F7D272CE2BBBFB9DAE71D21BF25B8D00FC | RegularExpressionExplorer.exe | MSIL/Agent.YBX | Downloader MATCHBOIL (GUI de busqueda de texto). |
| 6D72B56B86FD5ED9BD188C8C88CFC69476F836E7 | HelpersLibraries.dll | MSIL/Agent.XXC | Downloader MATCHBOIL en formato DLL. |
Red
| IP | Dominio | Proveedor de alojamiento | Primera vez visto | Detalles |
|---|---|---|---|---|
| N/A | virtualdailyplanner[.]pro | Cloudflare | 2025-11-10 | Servidor C&C de MATCHBOIL oculto tras Cloudflare. |
| N/A | telemetry-conf[.]com | Cloudflare | 2025-08-12 | Servidor C&C de MATCHBOIL oculto tras Cloudflare. |
| 64.95.10[.]223 | flycloud-service[.]com | BL Networks | 2026-03-03 | IP de servidor C&C (VPS). |
| 64.95.13[.]210 | airarticlegenerate[.]com | BL Networks | 2025-05-07 | IP de servidor C&C (VPS). |
La trayectoria de MATCHBOIL, desde sus oscuros inicios en 2024 hasta la sofisticada variante DLL de abril de 2026, es un testimonio de la adaptabilidad de UAC-0099. No se trata simplemente de un grupo que reutiliza herramientas públicas; es un actor que invierte activamente en el desarrollo de su propio arsenal, aprendiendo e iterando sobre su propio código. La rotación de mecanismos de persistencia, la adopción de ofuscadores comerciales y la implementación de técnicas antianálisis multicapa demuestran un compromiso firme con la efectividad operativa. Esta evolución plantea un desafío directo para los equipos de seguridad, que deben ir más allá de las firmas estáticas y adoptar un enfoque basado en el comportamiento para detectar amenazas que, como MATCHBOIL, cambian de rostro para adaptarse a su entorno de combate digital.
