Espías rusos renuevan discretamente el malware «MatchBoil»

Un grupo de ci­ber­es­pio­na­je pre­sun­ta­men­te vin­cu­la­do a in­tere­ses rusos, iden­ti­fi­ca­do como UAC-0099, ha es­ta­do em­plean­do un so­fis­ti­ca­do pro­gra­ma de des­car­ga de soft­wa­re ma­li­cio­so lla­ma­do Match­Boil. Esta cam­pa­ña está di­ri­gi­da con­tra or­ga­ni­za­cio­nes ucra­nia­nas per­te­ne­cien­tes a los sec­to­res de trans­por­te, ma­nu­fac­tu­ra y ener­gía. La he­rra­mien­ta tiene como pro­pó­si­to prin­ci­pal des­ple­gar una puer­ta tra­se­ra en C# de­no­mi­na­da Match­Wok, la cual otor­ga a los agre­so­res ac­ce­so per­sis­ten­te a los equi­pos que han sido vul­ne­ra­dos.

Las in­ves­ti­ga­cio­nes de los ana­lis­tas de se­gu­ri­dad in­di­can que este des­car­ga­dor ha ex­pe­ri­men­ta­do mo­di­fi­ca­cio­nes cons­tan­tes con el fin de for­ta­le­cer su eva­sión y sus ca­rac­te­rís­ti­cas ope­ra­ti­vas. Lo que ini­ció como un ele­men­to de eje­cu­ción única se ha trans­for­ma­do en un com­po­nen­te capaz de co­nec­tar­se de forma con­ti­nua con un ser­vi­dor de con­trol para ob­te­ner car­gas úti­les ac­tua­li­za­das. Entre las me­jo­ras in­tro­du­ci­das se en­cuen­tran mé­to­dos avan­za­dos de ofus­ca­ción de có­di­go me­dian­te he­rra­mien­tas co­mer­cia­les, re­vi­sio­nes para de­tec­tar en­tor­nos de prue­bas vir­tua­les y mo­di­fi­ca­cio­nes en las téc­ni­cas para man­te­ner la per­ma­nen­cia en los dis­po­si­ti­vos.

Para lle­var a cabo las in­fec­cio­nes, los ata­can­tes sue­len uti­li­zar co­rreos elec­tró­ni­cos de su­plan­ta­ción de iden­ti­dad que in­clu­yen en­la­ces hacia ar­chi­vos com­pri­mi­dos con se­cuen­cias de co­man­dos ma­li­cio­sas. Una vez que la víc­ti­ma eje­cu­ta el ar­chi­vo de ma­ne­ra ma­nual, el pro­gra­ma re­co­pi­la in­for­ma­ción de­ta­lla­da del equi­po afec­ta­do y va­li­da la in­exis­ten­cia de cier­tos di­rec­to­rios es­pe­cí­fi­cos antes de ini­ciar la co­mu­ni­ca­ción con los ser­vi­do­res ex­ter­nos.