Vírusový radar / Ruskom podporované skupiny UAC-0099 a Sandworm spolupracovali na deštruktívnom útoku na Ukrajinu
Mesiac sa s mesiacom zišiel a vo svete sa toho veľa nezmenilo. Rovnako ako sme sa mohli staviť, že Ruskom podporované skupiny budú pokračovať vo svojich útokoch na Ukrajine aj po celej Európe. Výskumníci v našom Labe sa nimi detailne zaoberajú a posledné týždne vydali hneď dve zaujímavé publikácie rozoberajúce ruský kybernetický arzenál.
Zdokumentovali sme vývoj malvéru MATCHBOIL, špeciálne vyvinutého C# downloadera, ktorý používa skupina UAC-0099. Malvér slúži na stiahnutie škodlivého nákladu zo C&C servera tejto skupiny, jeho inštaláciu a na zabezpečenie perzistencie v napadnutom systéme. Hoci bol MATCHBOIL prvýkrát zdokumentovaný ukrajinským národným tímom na riešenie kybernetických incidentov CERT-UA v auguste 2025, náš výskum naznačuje, že jeho vývoj prebieha minimálne od roku 2024.
Najstaršie vzorky analyzované výskumníkmi spoločnosti ESET pochádzajú z apríla 2024, najnovšie z apríla 2026, pričom každá nová verzia downloadera je sofistikovanejšia než predchádzajúca. Všetky obete kyberšpionážnych aktivít využívajúcich MATCHBOIL, ktoré ESET zaznamenal vo svojej telemetrii, pochádzali z Ukrajiny a pôsobili v rôznych odvetviach. UAC-0099 je kyberšpionážna skupina zameraná na vládne organizácie, finančné inštitúcie a médiá na Ukrajine.
Od júla do augusta 2025 spoločnosť ESET zaznamenala vzorky downloadera vo viacerých logistických spoločnostiach. V decembri toho istého roka sa objavili vo výrobnej firme. Neskôr, v júni 2026, telemetria ESET zachytila ďalšie vzorky MATCHBOIL, tentoraz v podniku pôsobiacom v energetickom sektore. Malvér sa šíri prostredníctvom škodlivých odkazov v spearphishingových e-mailoch.
Skupina UAC-0099 využíva virtuálne privátne servery poskytovateľov, ako je BitLaunch, na hostovanie svojich C&C serverov a cloudové služby, napríklad Cloudflare, na ich maskovanie. Tieto servery komunikujú prostredníctvom protokolov HTTP aj HTTPS.
Azda ešte zaujímavejší je ďalší arzenál od tejto skupiny. MythicRatatoskr, backdoor v jazyku Go, ukrýva svoj C&C server v mesh sieti Yggdrasil. Tento nástroj zohral kľúčovú úlohu pri príprave deštruktívneho útoku proti ukrajinskej spoločnosti pôsobiacej v oblasti obchodu a logistiky obilnín. Skupina UAC-0099 získala počiatočný prístup do siete obete a následne ho odovzdala ďalšej ruskej skupine Sandworm, ktorá vykonala útok s cieľom vymazať dáta. Slovo Yggdrasil pochádza zo severskej mytológie, kde označuje posvätný strom spájajúci rôzne ríše vesmíru. Na tomto strome žije veverička menom Ratatoskr, ktorá prenáša správy medzi jeho korunou a koreňmi. Keďže tento backdoor funguje ako posol pohybujúci sa sieťou Yggdrasil, naši výskumníci Anton Cherepanov a Peter Strýček ho pomenovali MythicRatatoskr.
Tento zdokumentovaný prípad odovzdania prístupu medzi dvomi skupinami podporovanými Ruskom nie je ojedinelý. Začiatkom roka 2025 naši výskumníci odhalili, že iná ruská skupina Gamaredon spolupracovala s ďalším aktérom z tejto krajiny, skupinou Turla. Skupina Sandworm je pripisovaná jednotke GRU 74455. UAC-0099 môže pôsobiť ako skupina zabezpečujúca počiatočný prístup pre operácie Sandwormu.
Reťazec aktivít po kompromitácii siete využíval už známy malvér pripisovaný skupine UAC-0099, konkrétne už spomínaný downloader MATCHBOIL a backdoor MATCHWOK. K mazaniu dát došlo o dva mesiace neskôr po prvej infiltrácii. MythicRatatoskr podporuje štandardné funkcionality backdooru vrátane vykonávania príkazov, prehliadania súborového systému, prenosu súborov, snímania obrazovky a proxy komunikácie. S vysokou pravdepodobnosťou bol využívaný aj na nasadenie servera SOCKS5, ktorý umožňoval smerovať sieťové spojenia cez kompromitovanú infraštruktúru.
No a čo by to bol tento rok za stĺpček, keby som aspoň trochu nespomenul umelú inteligenciu. Keďže nástroje založené na veľkých jazykových modeloch (LLM) čoraz viac pomáhajú pri rôznych bezpečnostných úlohách vrátane triedenia a analýzy kódu, bolo len otázkou času, kedy sa aktéri hrozieb začnú snažiť nájsť praktické spôsoby, ako ich tiež obísť alebo zmanipulovať.
A súvisí to práve s UAC-0099 a MATCHBOIL. Nedávno sme zaznamenali jeden takýto pokus v skripte VBScript, ktorý táto skupina použila v počiatočných fázach útoku proti cieľu na Ukrajine. Vložením falošnej žiadosti o návod na zostrojenie jadrovej zbrane do komentára skriptu sa útočník snažil aktivovať bezpečnostné zábrany skenera kódu využívajúceho LLM a prinútiť ho ukončiť analýzu zvyšku súboru ešte predtým, než sa dostane ku škodlivému kódu. Úlohou skriptu bolo stiahnuť a nainštalovať MATCHBOIL. Táto jednoduchá technika, ktorú sme pomenovali GuardBreaker, sa spolieha presne na typ „požiadavky“, ktoré modely LLM zvyknú odmietať spracovať.
Pri umelej inteligencii preto vo všeobecnosti platí dvojnásobne, že môže byť dobrý sluha, ale zlý pán. Aj pri bežnom využívaní chatbotov používajte zdravý ľudský úsudok. A keď už sme boli pri jadrovej bombe, nedávno vystúpil v diskusii v rámci ESET Science Award aj nositeľ Nobelovej ceny za fyziku Serge Haroche. Ten prirovnal potrebu regulácie umelej inteligencie k úsiliu, ktoré si v minulosti vyžadovala kontrola a regulácia jadrových zbraní. Myslím, že by sme mali veriť vedcom aj faktom. Presne také prinášame v týchto pravidelných správach z nášho Labu. A do ďalšieho vydania vám želám bezpečné brázdenie kybernetickým svetom.
