UAC-0099 ataca a personal del Gobierno ucraniano con la herramienta RAT ASHVEIN, que oculta comandos en código HTML

El grupo de pi­ra­tas in­for­má­ti­cos UAC-0099, vin­cu­la­do a Rusia y se­gui­do por Tren­dAI con la de­no­mi­na­ción Earth Si­rrush, ha sido vin­cu­la­do con el uso de un nuevo pro­gra­ma ma­li­cio­so co­no­ci­do como ASHVEIN o Te­le­metry­Brow­ser. Esta he­rra­mien­ta com­bi­na fun­cio­nes de robo de cre­den­cia­les en na­ve­ga­do­res, cap­tu­ra de pan­ta­llas, re­co­pi­la­ción de ar­chi­vos, eje­cu­ción re­mo­ta y co­mu­ni­ca­cio­nes ci­fra­das, ocul­tan­do ade­más ór­de­nes en ele­men­tos HTML in­vi­si­bles.

Las ope­ra­cio­nes de este co­lec­ti­vo se di­ri­gen con­tra per­so­nal del go­bierno, en­ti­da­des de de­fen­sa, guar­dia fron­te­ri­za y lo­gís­ti­ca en Ucra­nia, ha­bien­do am­plia­do sus ob­je­ti­vos hacia ope­ra­do­res de in­fra­es­truc­tu­ra y lo­gís­ti­ca civil. Para la dis­tri­bu­ción de sus ame­na­zas, los ata­can­tes em­plean di­ver­sos vec­to­res que in­clu­yen con­te­ne­do­res VHD, ar­chi­vos de carga la­te­ral de DLL y eje­cu­ta­bles con­te­ne­do­res es­pe­cí­fi­cos, des­ta­can­do un do­cu­men­to se­ñue­lo que su­plan­ta a la po­li­cía na­cio­nal ucra­nia­na para in­du­cir a las víc­ti­mas a con­fiar y abrir el ar­chi­vo.

A lo largo del tiem­po, la agru­pa­ción ha di­ver­si­fi­ca­do su ar­se­nal tec­no­ló­gi­co in­cor­po­ran­do di­fe­ren­tes fa­mi­lias de pro­gra­mas ma­li­cio­sos ba­sa­dos en len­gua­jes como C# y .NET, evo­lu­cio­nan­do desde he­rra­mien­tas pre­vias en Po­werShell y Go. Entre sus re­cur­sos des­ta­ca MATCHBOIL, un des­car­ga­dor que ha re­ci­bi­do ac­tua­li­za­cio­nes con­ti­nuas y com­pro­ba­cio­nes para de­tec­tar en­tor­nos vir­tua­les u ope­ra­ti­vos, ade­más del em­pleo de una téc­ni­ca de­no­mi­na­da Guard­Brea­ker para en­tor­pe­cer el aná­li­sis au­to­ma­ti­za­do me­dian­te in­te­li­gen­cia ar­ti­fi­cial al in­cluir in­ten­cio­nal­men­te in­di­ca­cio­nes sobre ar­ma­men­to nu­clear.