Свързаният с Русия атакуващ, известен като UAC-0099, е свързан с неизвестен досега .NET инфостийлър и троянски кон за отдалечен достъп (RAT) с кодово име ASHVEIN.

Според TrendAI злонамереният код е използван в атаки, насочени срещу служители на украинското правителство. Компанията за киберсигурност проследява този клъстер под името Earth Sirrush (преди SHADOW-EARTH-065).

ASHVEIN, който неговите разработчици вътрешно наричат „TelemetryBrowser“, съчетава възможности за кражба на идентификационни данни, наблюдение и отдалечен контрол. Неговата функционалност включва кражба на идентификационни данни от Chrome и Firefox, заснемане на екранни снимки чрез GDI, изброяване и извличане на файлове, изпълнение на PowerShell отдалечена конзола, идентифициране на системата и криптирана комуникация с командния сървър (C2).

„ASHVEIN също така крие задачи в невидими HTML елементи“, заявяват от TrendAI. „Някои варианти използват базиран на GitHub dead drop resolver като резервен механизъм, докато методите за доставка включват DLL sideloading, VHD контейнери и специализирани .NET дропери.“

UAC-0099 бе документиран за първи път от Екипа за реагиране при извънредни ситуации в компютрите на Украйна (CERT-UA) през юни 2023 г. Групата има история на атаки срещу украински правителствени, отбранителни, гранични и логистични структури поне от средата на 2022 г., появявайки се след пълномащабното нахлуване на Русия в Украйна.

ESET, в своя доклад APT Activity Report, публикуван през ноември 2025 г., заявява, че тази група за кибершпионаж може да действа като посредник за първоначален достъп за Sandworm — руска усъвършенствана персистентна заплаха (APT), известна най-вече с деструктивните си атаки срещу Украйна.

През изминалия период киберпрестъпникът постоянно разширява своя арсенал от злонамерен код, като преминава от базирани на PowerShell и Go инструменти към компилирани C# и защитени с .NET Reactor двоични файлове, скрити в стеганографски изображения.

Някои от семействата зловреден код, използвани от атакуващия през годините, са изброени по-долу -

  • 2022 - 2024: LONEPAGE (базиран на PowerShell зареждащ модул), THUMBCHOP (базиран на C# стийлър за браузъри), CLOGFLAG (кийлогър), SEAGLOW и OVERJAM (базирани на Go задни врати съответно за интерактивен достъп и обратен прокси)
  • 2024 – 2025: MATCHBOIL (базиран на C# зареждащ модул), MATCHWOK (базирана на C# задна врата) и DRAGSTARE, известен още като NordDragonScan (базиран на C# инфостийлър)
  • Октомври 2025: ASHVEIN, известен още като TelemetryBrowser
  • Февруари – Април 2026: BadPaw, известен още като CINDERBLOT (базиран на .NET зареждащ модул) и MeowMeow (задна врата)
  • Април – Юли 2026: LUNCHPOKE (.NET DLL, който се маскира като плъгин за Notepad++), BURNYBEAR (базиран на .NET зареждащ модул) и MATCHBOIL.V2 (обновена версия на MATCHBOIL)

„Пет версии са компилирани между 8 октомври и 23 октомври 2025 г. в три различни варианта на опаковане“, казват от TrendAI. „ASHVEIN се припокрива функционално с DRAGSTARE при кражбата на пароли, заснемането на екрана, събирането на файлове и WMI идентификацията, но ключови разлики ги разделят.“

„DRAGSTARE е компилиран от профила на разработчика NordDragon, насочен е както към Chrome, така и към Firefox, и включва проверки за виртуални машини и сканиране на подмрежи. ASHVEIN, компилиран от dev профила, използва различен подход за опаковане. Функционалното припокриване, съчетано с отделни среди за разработка, показва паралелно разработване на инструменти под различни профили за един и същ оперативен проект.“

UAC-0099 използва множество методи за доставка на ASHVEIN, включително DLL sideloading (известен като FORGECLAMP), VHD контейнери и специализирани .NET дропери. Един такъв .NET изпълним файл е AnswerFromPolice, който вгражда документ на Microsoft Word, представящ се за официален отговор от Националната полиция на Украйна.

AnswerFromPolice показва примамката, имитираща Националната полиция на Украйна, докато инсталира зловредния код във фонов режим. „Тази комбинация от имитация на институция и достоверно съдържание е предназначена да увеличи вероятността получателите да отворят и да се доверят на файла“, посочват от TrendAI.

Друго семейство зловреден код, претърпяло значителна еволюция през изминалата година, е MATCHBOIL. Изследването на ESET показва, че базираният на C# програма за изтегляне е в активен процес на разработка поне от април 2024 г. Основната задача на MATCHBOIL е да изтегли, инсталира и осигури персистентност на друг инжектиран код.

Наскоро наблюдаваните версии на MATCHBOIL са под формата на DLL файл, който се изпълнява от персонализиран C# зареждащ модул. Зловредният код също така проверява дали работи в изолирана среда и прекратява изпълнението, ако датата на инсталиране на операционната система е с 10 или повече дни по-стара от датата, на която се изпълнява артефактът.

„Това показва засиления интерес на операторите на UAC-0099 към подобряване на тяхната програма за изтегляне, не само за да избегнат откриване от решения за сигурност, но и да я използват като ключова част от своя арсенал в бъдещи атаки“, заявява изследователят от ESET Фернандо Тавела в доклад, споделен с The Hacker News.

В това, което изглежда като поредна еволюция в тактиката на злонамерения субект, словашката компания за киберсигурност съобщава, че е наблюдавала използването на техника, наречена GuardBreaker, срещу украинска мишена с цел да се компрометира анализът, подпомогнат от изкуствен интелект (AI).

По-конкретно е установено, че злонамерен Visual Basic Script (VBScript), използван от противника, съдържа подкана с искане за инструкции за създаване на ядрено оръжие в опит умишлено да се задействат защитните механизми на голям езиков модел (LLM) и да му се попречи да анализира останалата част от кода. VBScript служи като канал за доставка на MATCHBOIL.

„Наличните доказателства показват, че атаките са се разширили извън правителствените и военните организации и вече включват цивилни логистични и инфраструктурни оператори, които поддържат снабдяването на Украйна“, допълват от TrendAI. „Това изместване следва хода на войната: с продължаването на конфликта стойността на разбирането на логистичните мрежи на Украйна нараства, а киберусилията следват същата логика като конвенционалните действия.“