Un gruppo di cyberspionaggio collegato alla Russia ha utilizzato malware sempre più sofisticati per colpire organizzazioni ucraine, inclusa una versione mascherata da semplice applicazione per pianificare le attività quotidiane e dare da mangiare a un gatto.
Il malware, noto come MATCHBOIL, è associato a UAC-0099, un gruppo di hacker che i ricercatori di cybersecurity ritengono operi a sostegno degli interessi russi. Secondo a new investigation by ESET , il gruppo ha continuato a migliorare il proprio software malevolo per rendere le infezioni più difficili da rilevare.
I ricercatori hanno identificato MATCHBOIL in diverse aziende di trasporto ucraine durante luglio e agosto 2025, seguite da una società manifatturiera a dicembre. Un’altra rilevazione è avvenuta in un’organizzazione del settore energetico nel giugno 2026.
Gli attacchi tipicamente iniziano con email di phishing mirate contenenti link dannosi. Questi link portano ad archivi contenenti script che le vittime possono essere ingannate a eseguire, permettendo a MATCHBOIL di installarsi sui loro computer.
Una volta attiva, il malware contatta i server controllati dagli attaccanti e tenta di scaricare ulteriori software dannosi. Questo può includere backdoor che forniscono accesso continuo a sistemi compromessi.
Una versione particolarmente insolita scoperta alla fine del 2025 mostrava un piano di pianificazione giornaliero falso quando aperto manualmente. L’applicazione sembrava offrire un programma per nutrire un gatto, nascondendo il vero scopo del programma.
Il travestimento conteneva diversi errori, tra cui campi duplicati e una finestra con un nome errato. I ricercatori hanno anche scoperto che il malware memorizzava i suoi componenti aggiuntivi in una cartella chiamata “Meowcheck”, con un eseguibile chiamato “MeowMeowProgramm.exe.”
Nonostante l’aspetto insolito, MATCHBOIL stava diventando più pericoloso. ESET scoprì che le versioni più recenti potevano comunicare con server controllati dagli attaccanti ogni due minuti, permettendo agli operatori di controllare ripetutamente la presenza di payload dannosi aggiuntivi.
Gli sviluppatori introdussero anche tecniche volte a rendere più difficile l’analisi della sicurezza. Queste includevano controlli per ambienti virtuali comunemente utilizzati dai ricercatori di malware e metodi più robusti per nascondere il codice sottostante del programma.
All’inizio del 2026, gli attaccanti avevano sostituito l’interfaccia a tema gatto con un utility di ricerca testuale dall’aspetto più ordinario. Le versioni successive adottarono anche nomi file e posizioni di installazione meno sospetti.
ESET ritiene che MATCHBOIL possa essere in fase di sviluppo da aprile 2024, più di un anno prima che le autorità ucraine lo documentassero pubblicamente.
I ricercatori valutano con media fiducia che UAC-0099 sia allineato con gli interessi russi. Il gruppo potrebbe anche fornire un accesso iniziale a Sandworm, un’altra operazione hacker allineata con la Russia associata a attacchi informatici distruttivi.
I risultati mostrano che MATCHBOIL rimane una minaccia in evoluzione per le organizzazioni ucraine. Tuttavia, la ricerca non stabilisce quanti sistemi siano stati compromessi, né se le infezioni osservate abbiano causato interruzioni operative.