Een aan Rusland gelieerde cyberspionagegroep gebruikt steeds geavanceerdere malware om Oekraïense organisaties te targeten, waaronder een versie die zich voordoet als een gewone applicatie voor het plannen van dagelijkse activiteiten en het voeren van een kat.
De malware, bekend als MATCHBOIL, is verbonden aan UAC-0099, een hackersgroep waarvan cybersecurity-onderzoekers geloven dat ze opereert ter ondersteuning van Russische doeleinden. Volgens a new investigation by ESET , heeft de groep haar kwaadaardige software blijven verbeteren om infecties moeilijker te detecteren.
Onderzoekers identificeerden MATCHBOIL bij verschillende Oekraïense transportbedrijven in juli en augustus 2025, gevolgd door een productiebedrijf in december. Een andere detectie vond plaats bij een organisatie in de energiesector in juni 2026.
De aanvallen beginnen meestal met gerichte phishing-e-mails met kwaadaardige links. Deze links leiden naar archieven met scripts die slachtoffers kunnen worden misleid om te draaien, waardoor MATCHBOIL zichzelf op hun computers kan installeren.
Zodra de malware actief is, neemt de malware contact op met servers die door de aanvallers worden gecontroleerd en probeert extra kwaadaardige software te downloaden. Dit kan ook achterdeurtjes zijn die voortdurende toegang tot gecompromitteerde systemen bieden.
Een bijzonder bijzondere versie die eind 2025 werd ontdekt, toonde een nep-dagplanner wanneer deze handmatig werd geopend. De applicatie leek een schema te bieden voor het voeren van een kat, waarbij het werkelijke doel van het programma werd verborgen.
De vermomming bevatte verschillende fouten, waaronder gedupliceerde velden en een verkeerd benoemd venster. Onderzoekers ontdekten ook dat de malware zijn extra componenten opsloeg in een map genaamd “Meowcheck,” met een uitvoerbaar bestand genaamd “MeowMeowProgramm.exe.”
Ondanks het ongebruikelijke uiterlijk werd MATCHBOIL steeds gevaarlijker. ESET ontdekte dat nieuwere versies elke twee minuten konden communiceren met door aanvallers gecontroleerde servers, waardoor de operators herhaaldelijk konden controleren op extra kwaadaardige payloads.
De ontwikkelaars introduceerden ook technieken die bedoeld waren om beveiligingsanalyse moeilijker te maken. Deze omvatten controles voor virtuele omgevingen die vaak door malwareonderzoekers worden gebruikt en sterkere methoden om de onderliggende code van het programma te verbergen.
Begin 2026 hadden de aanvallers de opvallende kat-geïnspireerde interface vervangen door een meer gewoon ogende tekstzoekhulp. Latere versies namen ook minder verdachte bestandsnamen en installatielocaties over.
ESET denkt dat MATCHBOIL mogelijk sinds april 2024 in ontwikkeling is, meer dan een jaar voordat de Oekraïense autoriteiten het publiekelijk documenteerden.
Onderzoekers schatten met matige zekerheid in dat UAC-0099 in lijn is met Russische belangen. De groep kan ook eerste toegang bieden tot Sandworm, een andere aan Rusland gelieerde hackoperatie die geassocieerd wordt met destructieve cyberaanvallen.
De bevindingen tonen aan dat MATCHBOIL een evoluerende bedreiging blijft voor Oekraïense organisaties. Het onderzoek stelt echter niet vast hoeveel systemen zijn gecompromitteerd of of de waargenomen infecties operationele verstoringen veroorzaakten.