ESET’in araştırmasına göre, Rusya yanlısı UAC-0099 APT grubu, Ukrayna’daki sanayi kuruluşlarına yönelik saldırılarında MATCHBOIL adlı kötü amaçlı yazılımı kullanıyor. 2024’ten bu yana geliştirilen araç, saldırganların uzaktan sunucudan zararlı yazılım indirmesine ve sistemde kalıcılık sağlamasına olanak tanıyor.

UAC-0099, Ukrayna’daki devlet kurumlarını, finans kuruluşlarını ve medya kuruluşlarını hedef alan bir siber casusluk grubu olarak biliniyor. ESET, hedef alınan kuruluşların profiline dayanarak grubun Rusya’nın çıkarlarıyla uyumlu hareket ettiğini değerlendiriyor. Şirket ayrıca UAC-0099’un, Ukrayna’ya yönelik yıkıcı saldırılarıyla bilinen ve Rusya ile bağlantılı olduğu değerlendirilen Sandworm grubu için ilk erişimi sağlayan bir aracı olabileceğini belirtiyor.

ESET araştırmacısı Fernando Tavella’nın analizine göre MATCHBOIL, hedefli oltalama e-postalarındaki zararlı bağlantılar üzerinden dağıtılıyor. Bağlantıya tıklayan kullanıcıya, içinde kötü amaçlı bir VBScript dosyası bulunan bir arşiv indiriliyor. Bu dosya, MATCHBOIL’in bilgisayara indirilip çalıştırılmasını sağlıyor.

MATCHBOIL’in işleyişi zaman içinde değişti. İlk sürümler yalnızca bir kez indirme işlemi gerçekleştirirken sonraki sürümler, iki dakikada bir komuta-kontrol (C&C) sunucusuyla iletişim kurabilecek şekilde geliştirildi. 2025’in sonlarında kullanıcı zararlı yükü çalıştırdığında ekranda görünen bir grafik arayüz eklendi. Bu arayüz, 2026’nın başlarında daha az dikkat çeken bir sürümle değiştirildi.

UAC-0099, komuta-kontrol sunucularını barındırmak için BitLaunch gibi sanal özel sunucu hizmetlerinden yararlanıyor. Cloudflare gibi bulut hizmetleri ise sunucuların gizlenmesinde kullanılıyor. İletişim hem HTTP hem de HTTPS protokolleri üzerinden gerçekleştiriliyor.

MATCHBOIL, Ağustos 2025’te CERT-UA tarafından belgelenmişti. Ancak ESET’in incelemeleri, kötü amaçlı yazılımın en az 2024’ten bu yana geliştirildiğini ortaya koydu. Araştırma ekibinin analiz ettiği örnekler Nisan 2024 ile Nisan 2026 arasına uzanıyor. Bu dönemde yazılımın kod yapısında ve gizleme yöntemlerinde çeşitli değişiklikler yapıldı. Sonraki sürümlerde .NET Reactor adlı yazılım gizleme aracının da kullanıldığı belirlendi.

ESET’in telemetri verilerine göre, MATCHBOIL saldırılarında tespit edilen kurbanların tamamı Ukrayna’da farklı sektörlerde faaliyet gösteren kuruluşlardı. Temmuz ve Ağustos 2025’te birden fazla ulaştırma şirketinde kötü amaçlı yazılım örneklerine rastlandı. Aralık 2025’te bir imalat şirketinde, Haziran 2026’da ise enerji sektöründe faaliyet gösteren bir şirkette yeni örnekler tespit edildi.

Nisan 2024’ten Nisan 2026’ya kadar uzanan örnekleri inceleyen ESET araştırmacıları, MATCHBOIL’in kod yapısından gizleme tekniklerine kadar birçok açıdan değiştirildiğini belirledi. Bulgular, UAC-0099’un aracı geliştirmeyi sürdürdüğünü ve MATCHBOIL’i gelecekteki saldırılarda kullanmak üzere geliştirmeye devam ettiğini gösteriyor.