Siber güvenlik şirketi ESET, Rusya yanlısı UAC-0099 APT grubu tarafından kullanılan özel bir C# indirici olan MATCHBOIL kötü amaçlı yazılımının evrimini belgeledi. Bu kötü amaçlı yazılım, grubun C&C sunucusundan bir yük indirmek, onu yüklemek ve kalıcılığını sağlamak için kullanılıyor. ESET’in telemetri verilerinde tespit ettiği kurbanlar, Ukrayna’da çeşitli sektörlerde faaliyet gösteriyor.
UAC-0099, Ukrayna’daki devlet kurumlarını, finans kuruluşlarını ve medya kuruluşlarını hedef alan bir siber casusluk grubu. Hedefleme kriterlerine dayanarak ESET, grubun Rus çıkarlarıyla uyumlu olduğunu; UAC-0099’un, Ukrayna’daki yıkıcı saldırılarıyla tanınan ve yine Rusya ile uyumlu bir başka grup olan Sandworm için ilk erişim aracısı olarak hareket edebileceğini düşünüyor.
MATCHBOIL’i analiz eden ESET araştırmacısı Fernando Tavella yaptığı açıklamada şunları paylaştı: “Kötü amaçlı yazılım, hedefli oltalama e-postalarındaki kötü amaçlı bağlantılar aracılığıyla dağıtılıyor. Bağlantıya tıklandığında, kurbanın bilgisayarına MATCHBOIL’i indirip çalıştıran bir VBScript dosyası yükü içeren bir arşiv dosyası indirilir. MATCHBOIL, tek seferlik bir indiriciden her iki dakikada bir C&C sunucusuyla iletişim kurabilen bir indiriciye dönüşmüştür; 2025 yılının sonlarında UAC-0099, kullanıcı yükü çalıştırdığında görünen bir grafik kullanıcı arayüzü eklemiştir. Bu arayüz, 2026 yılının başlarında daha az dikkat çeken bir versiyona dönüştürülmüştür.”
UAC-0099, C&C sunucularını barındırmak için BitLaunch gibi sanal özel sunucuları ve bunları gizlemek için Cloudflare gibi bulut hizmetlerini kullanıyor. Bu sunucular hem HTTP hem de HTTPS kullanıyor.
MATCHBOIL, ilk olarak Ağustos 2025’te CERT-UA tarafından belgelenmiş olsa da ESET araştırmaları, yazılımın en azından 2024 yılından beri geliştirilmekte olduğunu gösteriyor. ESET Araştırma ekibinin analiz ettiği kötü amaçlı yazılımın en eski sürümleri Nisan 2024’e, en yenileri ise Nisan 2026’ya aittir; indiricinin her yeni sürümü bir öncekinden daha gelişmiştir. ESET’in telemetri verilerinde tespit ettiği MATCHBOIL siber casusluk saldırılarının tüm kurbanları, Ukrayna’da çeşitli sektörlerde faaliyet gösteren kuruluşlardı. Temmuz-Ağustos 2025 arasında ESET, birçok ulaştırma şirketinde bu indiricinin örneklerini tespit etti. Aynı yılın Aralık ayında ise bir imalat şirketinde görüldü. Daha sonra, Haziran 2026’da ESET telemetri verileri, bu kez enerji sektöründeki bir şirkette yeni MATCHBOIL örneklerini kaydetti.
ESET Research’ün Nisan 2024’ten Nisan 2026’ya kadar MATCHBOIL örnekleri üzerinde yaptığı inceleme, kod düzeyindeki yapıdan .NET Reactor gizleme aracının kullanımına kadar birçok değişikliği ortaya çıkardı; bunların tümü nispeten kısa bir sürede hayata geçirildi. Bu durum, UAC-0099 operatörlerinin indirme aracını geliştirmeye büyük ilgi duyduklarını göstermektedir; bu ilgi, yalnızca güvenlik çözümleri tarafından tespit edilmekten kaçınmakla kalmayıp, gelecekteki saldırılarda araç setlerinin önemli bir parçası olarak kullanmak amacıyla da ortaya çıkmaktadır.
