Página inicial
Atualidade

ESET revela ataques do grupo russo UAC-0099 contra energia e transportes na Ucrânia com malware MATCHBOIL

ESET revela ataques do grupo russo UAC-0099 contra energia e transportes na Ucrânia com malware MATCHBOIL

A equipa da ESET Research, divisão de investigação da conceituada tecnológica de cibersegurança ESET, detalhou recentemente as operações de um grupo de ciberespionagem alinhado com os interesses da Rússia que está a intensificar os seus ataques contra setores estratégicos na Ucrânia. O grupo, identificado como UAC-0099, tem utilizado uma versão renovada e significativamente mais sofisticada do malware MATCHBOIL para visar organizações nos setores da energia, transportes e indústria.

A investigação da ESET Research sobre o grupo UAC-0099

De acordo com os dados revelados pela ESET, o grupo UAC-0099 está ativo desde pelo menos 2022, focando as suas operações em instituições governamentais, meios de comunicação social e entidades financeiras. No entanto, a telemetria mais recente indica uma viragem perigosa para infraestruturas críticas. A ESET Research atribui, com um nível de confiança médio, o alinhamento deste grupo aos interesses russos, dadas as características e os alvos selecionados.

Evolução técnica do malware MATCHBOIL

O MATCHBOIL é uma ferramenta fundamental no arsenal deste grupo, servindo como um descarregador (downloader) que facilita a instalação e permanência de outros softwares maliciosos nos sistemas das vítimas. A análise da ESET permitiu traçar uma linha cronológica clara da sua evolução técnica:

  • Abril de 2024: Identificação das versões mais antigas analisadas nesta investigação.
  • Agosto de 2025: Primeira documentação pública do malware pelo CERT-UA.
  • Final de 2025: Introdução de uma interface gráfica que surge quando o utilizador executa o ficheiro manualmente.
  • Início de 2026: Adoção de uma versão mais discreta e menos evidente para o utilizador.
  • Abril de 2026: Registo das amostras mais recentes e sofisticadas.

Cronologia dos ataques a setores estratégicos

A telemetria da ESET identificou uma série de ataques direcionados a empresas específicas na Ucrânia ao longo dos últimos dois anos. Estes ataques demonstram a persistência e a adaptação do grupo UAC-0099 às defesas locais.

Entre julho e agosto de 2025, a ESET detetou o MATCHBOIL em várias empresas do setor dos transportes. Em dezembro do mesmo ano, o alvo foi uma empresa do setor industrial. Mais recentemente, em junho de 2026, novas amostras foram observadas numa empresa do setor da energia. É importante notar que todas as vítimas identificadas pela ESET estavam localizadas em território ucraniano, reforçando a natureza geopolítica da operação.

Táticas de intrusão e ofuscação detalhadas pela ESET

O método de infeção preferencial do UAC-0099 continua a ser o spearphishing. Os cibercriminosos enviam e-mails com links maliciosos que, ao serem clicados, descarregam um ficheiro comprimido. Este ficheiro contém um script VBScript responsável por descarregar e executar o MATCHBOIL no equipamento da vítima.

A sofisticação do código e da infraestrutura

Fernando Tavella, investigador da ESET Research e responsável pela investigação, explica que o malware sofreu alterações profundas para evitar a deteção. "O malware é distribuído através de links maliciosos enviados por e-mail. Inicialmente, o MATCHBOIL funcionava como um descarregador de utilização única, mas evoluiu e passou a comunicar com o servidor de comando e controlo a cada dois minutos", afirma o especialista da ESET.

Para dificultar o trabalho de analistas de segurança, o grupo passou a utilizar o .NET Reactor, uma ferramenta de ofuscação que torna o código quase ilegível. Além disso, a infraestrutura de Comando e Controlo (C&C) é protegida por camadas adicionais:

  • BitLaunch: Utilização de servidores privados virtuais (VPS) para alojar a infraestrutura.
  • Cloudflare: Uso de serviços na nuvem para ocultar o endereço IP real dos servidores de ataque.
  • Protocolos HTTP/HTTPS: Comunicações encriptadas para se misturarem com o tráfego legítimo de rede.

O perigo dos Intermediários de Acesso Inicial (IAB)

Um dos pontos mais alarmantes levantados pela ESET Research é a possibilidade de o UAC-0099 atuar como um intermediário de acesso inicial (Initial Access Broker - IAB). Isto significa que o seu papel principal poderá ser comprometer a rede e, posteriormente, vender ou entregar esse acesso ao grupo Sandworm.

O Sandworm é sobejamente conhecido no mundo da cibersegurança por levar a cabo ataques destrutivos de grande escala contra infraestruturas críticas ucranianas. Se o grupo UAC-0099 estiver a facilitar o caminho para o Sandworm, o risco de interrupções graves em serviços de energia e transportes aumenta exponencialmente.

Impacto e relevância para a cibersegurança

Embora os ataques descritos pela ESET estejam concentrados na Ucrânia, as técnicas utilizadas servem de aviso para organizações em todo o mundo, inclusive em Portugal. A sofisticação na ocultação de infraestrutura e o uso de ferramentas de ofuscação demonstram que grupos alinhados com Estados estão a investir recursos consideráveis para contornar soluções de segurança tradicionais.

A ESET recomenda que as empresas mantenham soluções de deteção e resposta (EDR/XDR) atualizadas e formem os seus colaboradores para identificar tentativas de spearphishing, que continuam a ser a porta de entrada mais eficaz para este tipo de malware.

Perguntas Frequentes

O que é o malware MATCHBOIL mencionado pela ESET?

O MATCHBOIL é um tipo de malware classificado como 'downloader', utilizado pelo grupo UAC-0099. A sua função é infiltrar-se num computador, estabelecer persistência e descarregar outros programas maliciosos adicionais para realizar espionagem ou sabotagem.

Como posso proteger a minha empresa contra ataques de spearphishing?

A proteção envolve a utilização de soluções de segurança de e-mail avançadas, como as da ESET, que analisam links e anexos em tempo real, além da implementação de autenticação multifator (MFA) e formação contínua dos funcionários para não clicarem em links de fontes desconhecidas.

Qual é a relação entre o grupo UAC-0099 e o Sandworm?

Segundo a investigação da ESET, existe a suspeita de que o UAC-0099 funcione como um intermediário. Ele obtém o acesso inicial às redes das vítimas e depois permite que o grupo Sandworm, conhecido por ataques mais destrutivos, entre no sistema para completar a missão.

Leia também no netthings.pt

Google News

Siga o NetThings no Google News

Fique a par de todas as novidades tecnológicas em tempo real.

⭐ SEGUIR NO GOOGLE NEWS

Acompanhe-nos também em:

-->