{"id":70301,"date":"2026-10-10T07:22:23","date_gmt":"2026-10-10T07:22:23","guid":{"rendered":"https:\/\/overcentral.com\/es\/?p=70301"},"modified":"2026-10-10T07:22:23","modified_gmt":"2026-10-10T07:22:23","slug":"evolucion-matchboil-uac-0099-70301","status":"publish","type":"post","link":"https:\/\/overcentral.com\/es\/evolucion-matchboil-uac-0099-70301\/","title":{"rendered":"ESET revela la evoluci\u00f3n del\u4e0b\u8f7dador MATCHBOIL de UAC-0099"},"content":{"rendered":"

El grupo de ciberespionaje UAC-0099, alineado con los intereses de Rusia, no descansa en su empe\u00f1o por perfeccionar sus herramientas de ataque contra objetivos en Ucrania. Una reciente investigaci\u00f3n de ESET<\/a> ha puesto de manifiesto la evoluci\u00f3n constante de MATCHBOIL, un downloader desarrollado a medida en C# que el grupo emplea desde al menos abril de 2024. El an\u00e1lisis de m\u00faltiples variantes a lo largo de dos a\u00f1os revela una hoja de ruta clara de mejora continua en ofuscaci\u00f3n, persistencia y evasi\u00f3n de defensas, convirtiendo a este malware en una pieza clave de su arsenal contra los sectores del transporte, la industria manufacturera y la energ\u00eda en Ucrania.<\/p>\n

UAC-0099: un actor persistente que invierte en su propio arsenal<\/h2>\n

UAC-0099 es un grupo de ciberespionaje activo desde al menos 2022, centrado en organizaciones gubernamentales, instituciones financieras y medios de comunicaci\u00f3n ucranianos. Con un nivel de confianza medio, ESET<\/a> atribuye al grupo una alineaci\u00f3n con los intereses rusos. Un aspecto particularmente relevante de su modus operandi es su capacidad para actuar como puerta de entrada inicial para Sandworm, el notorio grupo ruso conocido por sus ataques destructivos. Adem\u00e1s de MATCHBOIL, el grupo despliega habitualmente LONEPAGE, un downloader en PowerShell. La continua inversi\u00f3n en el desarrollo de MATCHBOIL, desde sus versiones m\u00e1s rudimentarias hasta las m\u00e1s sofisticadas, subraya la importancia estrat\u00e9gica de esta herramienta para sus operaciones de ciberespionaje.<\/p>\n

MATCHBOIL 101: anatom\u00eda de un downloader a medida<\/h2>\n

MATCHBOIL es un downloader programado en C# cuyo objetivo final es descargar, instalar y garantizar la persistencia de un payload adicional en el sistema de la v\u00edctima. En la mayor\u00eda de los casos, este payload es MATCHWOK, una puerta trasera tambi\u00e9n exclusiva de UAC-0099 y documentada por CERT-UA.<\/p>\n

El proceso de infecci\u00f3n comienza con un correo de spearphishing que contiene un enlace malicioso. Al hacer clic, la v\u00edctima descarga un archivo comprimido que alberga un script VBScript, que a su vez descarga y ejecuta MATCHBOIL. Para que el proceso tenga \u00e9xito, el usuario debe ser enga\u00f1ado para ejecutar manualmente el script, un requisito que el grupo intenta mitigar con ingenier\u00eda social.<\/p>\n

Una vez en ejecuci\u00f3n, el malware realiza una serie de comprobaciones. Primero, verifica si el directorio de instalaci\u00f3n del payload ya existe en %LOCALAPPDATA%, en cuyo caso se detiene para evitar duplicados o detecci\u00f3n. A continuaci\u00f3n, recopila informaci\u00f3n del sistema (ID de la CPU, n\u00famero de serie de la BIOS, direcci\u00f3n MAC) para identificar a la v\u00edctima en comunicaciones posteriores con el servidor de Comando y Control (C&C).<\/p>\n

La comunicaci\u00f3n con el C&C se articula en tres solicitudes HTTPS:<\/p>\n

    \n
  1. Primera solicitud:<\/strong> Obtiene un valor num\u00e9rico del servidor. Este valor se emplea como encabezado HTTP en la segunda petici\u00f3n, actuando probablemente como un identificador del payload a descargar o una validaci\u00f3n de la legitimidad del cliente.<\/li>\n
  2. Segunda solicitud:<\/strong> La respuesta del servidor, formateada como HTML, contiene un payload codificado en hexadecimal. MATCHBOIL utiliza una expresi\u00f3n regular, que var\u00eda seg\u00fan la muestra, para extraerlo y decodificarlo. Este payload es el que se instala en el sistema.<\/li>\n
  3. Tercera solicitud:<\/strong> Recupera una cadena de texto que se guarda como archivo de configuraci\u00f3n para el payload instalado. El nombre de este archivo tambi\u00e9n var\u00eda seg\u00fan la muestra.<\/li>\n<\/ol>\n

    Finalmente, el downloader establece la persistencia del payload mediante tareas programadas o entradas de registro de Windows, seg\u00fan la variante. La persistencia del propio MATCHBOIL se gestiona a trav\u00e9s del VBScript inicial o un loader en C#.<\/p>\n

    Las claves de la metamorfosis de MATCHBOIL (2024-2026)<\/h2>\n

    ESET ha analizado muestras de MATCHBOIL con marcas de tiempo que abarcan desde abril de 2024 hasta abril de 2026<\/a>. Aunque CERT-UA document\u00f3 p\u00fablicamente el malware por primera vez en agosto de 2025<\/a>, las muestras m\u00e1s antiguas demuestran que su desarrollo se remonta a mediados de 2024. La progresi\u00f3n es innegable: cada iteraci\u00f3n es m\u00e1s compleja que la anterior, y los cambios abarcan m\u00faltiples dimensiones del c\u00f3digo.<\/p>\n

    Del cifrado casero al ofuscador comercial<\/h3>\n

    Las primeras muestras de MATCHBOIL utilizaban t\u00e9cnicas de ofuscaci\u00f3n artesanales. Los nombres de las clases y los m\u00e9todos se renombraban con caracteres Unicode no imprimibles, mientras que las cadenas de texto se cifraban mediante una combinaci\u00f3n de operaciones XOR y desplazamientos de bits. Aunque efectivo contra an\u00e1lisis superficiales, este enfoque resultaba relativamente sencillo de invertir para un analista con las herramientas adecuadas.<\/p>\n

    El salto cualitativo se produjo a finales de 2025, cuando UAC-0099 comenz\u00f3 a aplicar el ofuscador comercial Eziriz .NET Reactor a sus binarios. Esta herramienta introduce capas de virtualizaci\u00f3n de c\u00f3digo y ofuscaci\u00f3n del flujo de control, aumentando exponencialmente la complejidad del an\u00e1lisis tanto est\u00e1tico como din\u00e1mico. Todas las muestras posteriores a noviembre de 2025 emplean este ofuscador, lo que demuestra la intenci\u00f3n del grupo de elevar las barreras t\u00e9cnicas para los investigadores de seguridad.<\/p>\n

    Mecanismos de persistencia: un baile entre registros y tareas<\/h3>\n

    Los desarrolladores de MATCHBOIL han mostrado una sorprendente flexibilidad a la hora de elegir sus m\u00e9todos de persistencia, cambiando de estrategia en pr\u00e1cticamente cada nueva versi\u00f3n:<\/p>\n

      \n
    • 2024:<\/strong> Se utilizaba una combinaci\u00f3n de una entrada de registro en la clave Run de Windows y una tarea programada llamada Updates\\CheckTask.<\/li>\n
    • Julio de 2025:<\/strong> Se abandona la tarea programada y la persistencia se logra exclusivamente mediante una entrada en el registro de Windows.<\/li>\n
    • Finales de 2025:<\/strong> Se retorna al uso de tareas programadas, esta vez bajo el nombre UpdateCheckers\\DailyPlanner, que se ejecuta cada siete minutos.<\/li>\n
    • Abril de 2026:<\/strong> La tarea programada pasa a llamarse Checker, anidada en el directorio MailClient.<\/li>\n<\/ul>\n

      Esta rotaci\u00f3n constante de mecanismos sugiere un esfuerzo deliberado por evadir los sistemas de detecci\u00f3n basados en comportamientos de persistencia conocidos.<\/p>\n

      Estrategias antian\u00e1lisis: durmiendo al sandbox<\/h3>\n

      Uno de los aspectos m\u00e1s interesantes de la evoluci\u00f3n de MATCHBOIL es la implementaci\u00f3n progresiva de t\u00e9cnicas de evasi\u00f3n de entornos controlados. A partir de finales de 2025, el malware incorpora una rutina que consulta los registros de eventos de Windows mediante la clase EventLogReader, filtrando por el ID 6013, que reporta el tiempo de actividad del sistema desde el \u00faltimo arranque.<\/p>\n

      El c\u00f3digo contiene dos expresiones regulares para procesar estos registros: una en ingl\u00e9s y otra en ruso. Si se detectan al menos tres eventos con un tiempo de actividad superior a 7.200 segundos (dos horas), MATCHBOIL asume que no est\u00e1 en un sandbox y procede con su l\u00f3gica maliciosa. En versiones posteriores, de 2026, se a\u00f1ade una verificaci\u00f3n adicional: si la fecha de instalaci\u00f3n del sistema operativo tiene menos de 10 d\u00edas de antig\u00fcedad respecto a la ejecuci\u00f3n del malware, el proceso se detiene. Tambi\u00e9n se verifica la presencia de un depurador mediante la propiedad IsAttached de la clase Debugger de .NET, un indicador cl\u00e1sico de que el binario est\u00e1 siendo analizado.<\/p>\n

      La m\u00e1scara del programa \u00fatil: interfaces para enga\u00f1ar a la v\u00edctima<\/h3>\n

      Otra innovaci\u00f3n significativa aparece a finales de 2025: la inclusi\u00f3n de una interfaz gr\u00e1fica de usuario (GUI) destinada a enga\u00f1ar a la v\u00edctima si el malware se ejecuta manualmente. Inicialmente, la GUI simulaba un planificador diario, aunque con evidentes fallos de dise\u00f1o que delataban su naturaleza fraudulenta, como la presencia de dos campos de texto titulados Today y un error tipogr\u00e1fico en el nombre de la ventana.<\/p>\n

      En febrero de 2026, la GUI fue reemplazada por una herramienta de b\u00fasqueda en archivos de texto mediante expresiones regulares, un se\u00f1uelo mucho m\u00e1s veros\u00edmil para un usuario que trabaja con documentos. Para que el malware ejecute su verdadera l\u00f3gica maliciosa, debe ser lanzado con argumentos espec\u00edficos (-auto en las primeras versiones, -renew en las m\u00e1s recientes). De lo contrario, la GUI se muestra al usuario, ocultando la actividad subyacente.<\/p>\n

      Infraestructura de red y servidores de C&C<\/h2>\n

      Para alojar sus servidores de Comando y Control, UAC-0099 utiliza servidores privados virtuales (VPS) de proveedores como BitLaunch, operando a trav\u00e9s de BL Networks. Para ocultar la infraestructura subyacente y dificultar su derribo, el grupo emplea servicios de proxy inverso como Cloudflare. Las comunicaciones se realizan mediante HTTP y HTTPS, y los certificados TLS utilizados son emitidos por Let’s Encrypt, sin reutilizarse entre diferentes dominios. Dominios como virtualdailyplanner[.]pro y telemetry-conf[.]com han sido identificados como parte de la infraestructura de MATCHBOIL.<\/p>\n

      Indicadores de compromiso<\/h2>\n

      ESET ha publicado una lista completa de indicadores en su repositorio de GitHub. A continuaci\u00f3n se recogen los m\u00e1s relevantes identificados durante el an\u00e1lisis de la evoluci\u00f3n del malware.<\/p>\n

      Archivos (SHA-1)<\/h3>\n\n\n\n\n\n\n\n\n
      SHA-1<\/th>\nNombre del archivo<\/th>\nDeteccion ESET<\/th>\nDescripcion<\/th>\n<\/tr>\n
      B6569B0050B864C4A0D32326954BC2D3852A3958<\/td>\nPlannerLibrary.dll<\/td>\nMSIL\/Agent.XXC<\/td>\nDLL de MATCHBOIL con logica de C&C y persistencia.<\/td>\n<\/tr>\n
      A926889BAB31F3C34663D18C05C4E862EF367028<\/td>\nAnimalUpdater.exe<\/td>\nMSIL\/Agent_AGen.DGX<\/td>\nDownloader MATCHBOIL.<\/td>\n<\/tr>\n
      026F892630D0A4FE854A75984695BA99AF0022C4<\/td>\nbootloader.exe<\/td>\nMSIL\/Agent.XPZ<\/td>\nDownloader MATCHBOIL.<\/td>\n<\/tr>\n
      F886B615CB9E23EAD2718FF2A61155ACFB04CE9E<\/td>\nPlannerAssistantManager.exe<\/td>\nMSIL\/Agent.XXC<\/td>\nDownloader MATCHBOIL.<\/td>\n<\/tr>\n
      C85D28F7D272CE2BBBFB9DAE71D21BF25B8D00FC<\/td>\nRegularExpressionExplorer.exe<\/td>\nMSIL\/Agent.YBX<\/td>\nDownloader MATCHBOIL (GUI de busqueda de texto).<\/td>\n<\/tr>\n
      6D72B56B86FD5ED9BD188C8C88CFC69476F836E7<\/td>\nHelpersLibraries.dll<\/td>\nMSIL\/Agent.XXC<\/td>\nDownloader MATCHBOIL en formato DLL.<\/td>\n<\/tr>\n<\/table>\n

      Red<\/h3>\n\n\n\n\n\n\n
      IP<\/th>\nDominio<\/th>\nProveedor de alojamiento<\/th>\nPrimera vez visto<\/th>\nDetalles<\/th>\n<\/tr>\n
      N\/A<\/td>\nvirtualdailyplanner[.]pro<\/td>\nCloudflare<\/td>\n2025-11-10<\/td>\nServidor C&C de MATCHBOIL oculto tras Cloudflare.<\/td>\n<\/tr>\n
      N\/A<\/td>\ntelemetry-conf[.]com<\/td>\nCloudflare<\/td>\n2025-08-12<\/td>\nServidor C&C de MATCHBOIL oculto tras Cloudflare.<\/td>\n<\/tr>\n
      64.95.10[.]223<\/td>\nflycloud-service[.]com<\/td>\nBL Networks<\/td>\n2026-03-03<\/td>\nIP de servidor C&C (VPS).<\/td>\n<\/tr>\n
      64.95.13[.]210<\/td>\nairarticlegenerate[.]com<\/td>\nBL Networks<\/td>\n2025-05-07<\/td>\nIP de servidor C&C (VPS).<\/td>\n<\/tr>\n<\/table>\n

      La trayectoria de MATCHBOIL, desde sus oscuros inicios en 2024 hasta la sofisticada variante DLL de abril de 2026, es un testimonio de la adaptabilidad de UAC-0099. No se trata simplemente de un grupo que reutiliza herramientas p\u00fablicas; es un actor que invierte activamente en el desarrollo de su propio arsenal, aprendiendo e iterando sobre su propio c\u00f3digo. La rotaci\u00f3n de mecanismos de persistencia, la adopci\u00f3n de ofuscadores comerciales y la implementaci\u00f3n de t\u00e9cnicas antian\u00e1lisis multicapa demuestran un compromiso firme con la efectividad operativa. Esta evoluci\u00f3n plantea un desaf\u00edo directo para los equipos de seguridad, que deben ir m\u00e1s all\u00e1 de las firmas est\u00e1ticas y adoptar un enfoque basado en el comportamiento para detectar amenazas que, como MATCHBOIL, cambian de rostro para adaptarse a su entorno de combate digital.<\/p>\n","protected":false},"excerpt":{"rendered":"

      El grupo de ciberespionaje UAC-0099, alineado con los intereses de Rusia, no descansa en su empe\u00f1o por perfeccionar sus herramientas de ataque contra objetivos en Ucrania. Una reciente investigaci\u00f3n de ESET ha puesto de manifiesto la evoluci\u00f3n constante de MATCHBOIL, un downloader desarrollado a medida en C# que el grupo emplea desde al menos abril […]<\/p>\n","protected":false},"author":2,"featured_media":70304,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/70301.png","fifu_image_alt":"ESET revela la evoluci\u00f3n del\u4e0b\u8f7dador MATCHBOIL de UAC-0099","footnotes":""},"categories":[5],"tags":[],"class_list":["post-70301","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/70301.png","fifu_image_alt":"ESET revela la evoluci\u00f3n del\u4e0b\u8f7dador MATCHBOIL de UAC-0099","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/70301","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=70301"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/70301\/revisions"}],"predecessor-version":[{"id":70302,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/70301\/revisions\/70302"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/70304"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=70301"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=70301"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=70301"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}