تحلیل‌های اخیر نشان می‌دهد یک گروه جاسوسی سایبری وابسته به سازمان‌های اطلاعاتی روسیه، در دو سال گذشته به طور مداوم در حال بهینه‌سازی یک دانلودر (Downloader) اختصاصی به نام Matchboil بوده است که علیه سازمان‌های اوکراینی به کار گرفته می‌شود.
ارتباط با عامل تهدید Sandworm
این بدافزار که نخستین بار در سال ۲۰۲۵ توسط پاسخ‌دهندگان به حوادث در اوکراین شناسایی شد، از اوایل سال ۲۰۲۴ در حال توسعه بوده است. شرکت امنیتی Eset این گروه را با شناسه UAC-0099 دنبال می‌کند و با اطمینان متوسط معتقد است که این گروه به عنوان یک واسطه دسترسی اولیه (Initial Access Broker) برای گروه مشهور Sandworm (واحد ۷۴۴۵۵ مدیریت اطلاعات روسیه) عمل می‌کند.
زنجیره حمله و مکانیسم سرایت
عامل تهدید برای توزیع این بدافزار از روش‌های زیر استفاده می‌کند:
- ارسال ایمیل‌های Spear Phishing حاوی لینک‌های مخرب.
- پس از کلیک کاربر، یک فایل آرشیو حاوی یک VBScript دانلود می‌شود.
- این اسکریپت در نهایت دانلودر Matchboil را روی سیستم قربانی اجرا می‌کند.
پس از اجرای Matchboil، بدافزار شناسه‌های سیستم قربانی (مانند اطلاعات CPU و شماره سریال مادربورد) را جمع‌آوری کرده و از طریق پروتکل HTTPS با سرور C&C ارتباط برقرار می‌کند تا یک Backdoor توسعه‌یافته با زبان C# به نام Matchwok را نصب کند.
تکامل فنی و روش‌های پنهان‌سازی
تحلیل‌ها نشان می‌دهد Matchboil از یک دانلودر ساده به یک ابزار پیچیده تبدیل شده است:
- تغییر در ارتباطات: این بدافزار از حالت اجرای یک‌باره به حالتی تغییر یافته که هر دو دقیقه با سرور C&C ارتباط برقرار می‌کند.
- پنهان‌سازی کد: مهاجمان از ابزار تجاری Eziriz .NET Reactor برای Obfuscation کد استفاده کرده‌اند تا تحلیل بدافزار را دشوارتر کنند.
- پایداری (Persistence): روش‌های پایداری از طریق Registry و Scheduled Tasks در طول زمان تغییر کرده تا با محیط سیستم سازگارتر و نامحسوس‌تر باشد.
- دور زدن دفاعات: نسخه‌های جدید دارای قابلیت تشخیص Sandbox هستند. همچنین برای فریب کاربران در صورت اجرای دستی، رابط‌های گرافیکی (GUI) جعلی مانند یک برنامه‌ریز روزانه یا ابزار جستجوی متن نمایش می‌دهند.
در آخرین نسخه‌های سال ۲۰۲۶، این بدافزار از قالب EXE به DLL تغییر یافته و توسط یک Loader اختصاصی اجرا می‌شود تا شناسایی آن توسط ابزارهای امنیتی سخت‌تر شود.
