Espías afines a Rusia mejoran el malware utilizado en los ataques contra empresas ucranianas de transporte y energía

Un grupo de pi­ra­tas in­for­má­ti­cos vin­cu­la­do a Rusia, iden­ti­fi­ca­do como UAC-0099, ha es­ta­do ata­can­do a em­pre­sas ucra­nia­nas de ener­gía, trans­por­te y ma­nu­fac­tu­ra uti­li­zan­do una va­rian­te de pro­gra­ma ma­li­cio­so en cons­tan­te evo­lu­ción. In­ves­ti­ga­do­res de una firma de ci­ber­se­gu­ri­dad han se­ña­la­do que todas las in­fec­cio­nes de­tec­ta­das de este có­di­go ma­li­cio­so, de­no­mi­na­do Match­Boil, ocu­rrie­ron en te­rri­to­rio ucra­niano, afec­tan­do a va­rias com­pa­ñías de trans­por­te, una em­pre­sa ma­nu­fac­tu­re­ra y una or­ga­ni­za­ción del sec­tor ener­gé­ti­co en dis­tin­tos pe­rio­dos.

El mé­to­do prin­ci­pal de pro­pa­ga­ción de este soft­wa­re ma­li­cio­so con­sis­te en el uso de co­rreos elec­tró­ni­cos de su­plan­ta­ción de iden­ti­dad que con­tie­nen en­la­ces ma­li­cio­sos. Al hacer clic en estos en­la­ces, se des­car­ga un ar­chi­vo que eje­cu­ta el pro­gra­ma en el equi­po del usua­rio, per­mi­tien­do re­co­lec­tar datos del sis­te­ma, ase­gu­rar la per­ma­nen­cia en el dis­po­si­ti­vo y des­car­gar he­rra­mien­tas adi­cio­na­les desde un ser­vi­dor con­tro­la­do por los ata­can­tes.

A lo largo de su de­sa­rro­llo, este pro­gra­ma ha sido mo­di­fi­ca­do en re­pe­ti­das oca­sio­nes para me­jo­rar la re­co­lec­ción de datos, eva­dir el soft­wa­re de se­gu­ri­dad y en­ga­ñar a los usua­rios, aun­que al­gu­nas de estas tác­ti­cas de ocul­ta­mien­to han pre­sen­ta­do erro­res y fa­llos vi­si­bles. El grupo res­pon­sa­ble tam­bién ha em­plea­do otros pro­gra­mas com­ple­men­ta­rios para robar cre­den­cia­les, ar­chi­vos y per­mi­tir la eje­cu­ción re­mo­ta de co­man­dos en las redes de los ob­je­ti­vos gu­ber­na­men­ta­les, mi­li­ta­res y del sec­tor de de­fen­sa en Ucra­nia.