Um grupo de ciberespionagem ligado à Rússia tem usado malwares cada vez mais sofisticados para atacar organizações ucranianas, incluindo uma versão disfarçada de aplicativo comum para planejar atividades diárias e alimentar um gato.
O malware, conhecido como MATCHBOIL, está associado ao UAC-0099, um grupo de hackers que pesquisadores de cibersegurança acreditam operar em apoio aos interesses russos. Segundo a new investigation by ESET , o grupo continuou aprimorando seu software malicioso para dificultar a detecção das infecções.
Pesquisadores identificaram o MATCHBOIL em várias empresas ucranianas de transporte durante julho e agosto de 2025, seguido por uma empresa de manufatura em dezembro. Outra detecção ocorreu em uma organização do setor de energia em junho de 2026.
Os ataques normalmente começam com e-mails de phishing direcionados contendo links maliciosos. Esses links levam a arquivos contendo scripts que as vítimas podem ser enganadas a executar, permitindo que o MATCHBOIL se instale em seus computadores.
Uma vez ativo, o malware entra em contato com servidores controlados pelos atacantes e tenta baixar software malicioso adicional. Isso pode incluir backdoors que fornecem acesso contínuo a sistemas comprometidos.
Uma versão particularmente incomum descoberta no final de 2025 exibia um planejador diário falso quando aberto manualmente. O aplicativo parecia oferecer um cronograma para alimentar um gato, ocultando o verdadeiro propósito do programa.
O disfarce continha vários erros, incluindo campos duplicados e uma janela com nome incorreto. Os pesquisadores também descobriram que o malware armazenava seus componentes adicionais em uma pasta chamada “Meowcheck”, com um executável chamado “MeowMeowProgramm.exe.”
Apesar da aparência incomum, o MATCHBOIL estava se tornando mais perigoso. A ESET descobriu que versões mais recentes podiam se comunicar com servidores controlados pelo atacante a cada dois minutos, permitindo que os operadores verificassem repetidamente por cargas úteis maliciosas adicionais.
Os desenvolvedores também introduziram técnicas destinadas a tornar a análise de segurança mais difícil. Essas incluíram verificações de ambientes virtuais comumente usadas por pesquisadores de malware e métodos mais rigorosos para ocultar o código subjacente do programa.
No início de 2026, os atacantes haviam substituído a interface com tema de gato por uma ferramenta de busca de texto mais comum. Versões posteriores também adotaram nomes de arquivos e locais de instalação menos suspeitos.
A ESET acredita que o MATCHBOIL pode estar em desenvolvimento desde abril de 2024, mais de um ano antes das autoridades ucranianas documentá-lo publicamente.
Pesquisadores avaliam com confiança média que o UAC-0099 está alinhado com os interesses russos. O grupo também pode fornecer acesso inicial ao Sandworm, outra operação de hacking alinhada à Rússia associada a ataques cibernéticos destrutivos.
Os resultados mostram que o MATCHBOIL continua sendo uma ameaça em evolução para as organizações ucranianas. No entanto, a pesquisa não estabelece quantos sistemas foram comprometidos ou se as infecções observadas causaram interrupções operacionais.