- ESET Research analyse MATCHBOIL, un téléchargeur malveillant en C# utilisé par le groupe UAC-0099 pour déployer, installer et maintenir des charges utiles sur les systèmes compromis.
- Les activités observées par ESET ciblent exclusivement l’Ukraine, avec des victimes réparties dans plusieurs secteurs d’activité.
- Les dernières versions de MATCHBOIL témoignent d’une évolution continue du malware, notamment par l’intégration de l’obfuscateur .NET Reactor afin de renforcer sa furtivité.
- Bien que révélé publiquement par CERT-UA en août 2025, MATCHBOIL serait en développement depuis au moins avril 2024, selon l’analyse des échantillons réalisée par ESET.
Les chercheurs d’ESET ont analysé l’évolution de MATCHBOIL, un téléchargeur malveillant développé en C# et utilisé par le groupe APT UAC-0099, considéré comme aligné sur les intérêts russes. Ce malware permet de récupérer une charge utile depuis l’infrastructure de commande et de contrôle (C&C) du groupe, de l’installer sur la machine compromise et d’assurer sa persistance. Si le CERT-UA l’a officiellement documenté en août 2025, les recherches d’ESET montrent que son développement a débuté au moins dès 2024. Les analyses couvrent des échantillons observés entre avril 2024 et avril 2026, révélant une sophistication croissante à chaque nouvelle version. Toutes les victimes identifiées par la télémétrie d’ESET se situent en Ukraine et appartiennent à différents secteurs d’activité. De juillet à août 2025, ESET a détecté MATCHBOIL au sein de plusieurs entreprises du secteur des transports. En décembre de la même année, un acteur industriel a également été ciblé. Plus récemment, en juin 2026, de nouveaux échantillons ont été observés dans une entreprise du secteur de l’énergie.
L’analyse des différentes versions de MATCHBOIL met en évidence une évolution rapide du malware, tant au niveau de son code que de ses mécanismes d’obfuscation, notamment grâce à l’intégration de l’outil .NET Reactor. Ces améliorations témoignent de la volonté des opérateurs d’UAC-0099 de renforcer les capacités du malware, d’échapper aux solutions de détection et d’en faire un composant central de leurs futures opérations.
« MATCHBOIL est diffusé via des campagnes de spear phishing contenant des liens malveillants. Lorsqu’une victime clique sur l’un de ces liens, une archive est téléchargée et exécute un script VBScript chargé d’installer le malware. D’abord conçu comme un simple téléchargeur, MATCHBOIL a progressivement évolué pour communiquer avec son serveur C&C toutes les deux minutes. Fin 2025, les opérateurs ont ajouté une interface graphique affichée lors de l’exécution de la charge utile avant d’opter, début 2026, pour une version plus discrète », explique Fernando Tavella, chercheur chez ESET.
Pour héberger son infrastructure, UAC-0099 s’appuie sur des serveurs privés virtuels, notamment fournis par BitLaunch, et utilise des services tels que Cloudflare afin de masquer ses serveurs de commande et de contrôle. Les communications reposent sur les protocoles HTTP et HTTPS.
UAC-0099 mène principalement des opérations de cyberespionnage contre des organisations gouvernementales, des institutions financières et des médias ukrainiens. Au regard de ce ciblage, ESET estime avec un niveau de confiance modéré que le groupe agit dans l’intérêt de la Russie. Les chercheurs considèrent également qu’il pourrait servir de courtier d’accès initial pour Sandworm, groupe cybercriminel également aligné sur les intérêts de la Russie, et connu pour ses attaques destructrices visant l’Ukraine.
Pour une analyse technique approfondie de MATCHBOIL, consultez l’article publié sur WeLiveSecurity : « MATCHBOIL : New tricks, same old evil intensions ».
Contact Presse :
Jolya COHOUNDO : presse@eset-nod32.fr
À propos d'ESET
ESET®, entreprise européenne de cybersécurité reconnue mondialement, se positionne comme un acteur majeur dans la protection numérique grâce à une approche technologique innovante et complète. Fondée en Europe et disposant de bureaux internationaux, ESET combine la puissance de l'intelligence artificielle et l'expertise humaine pour développer des solutions de sécurité avancées, capables de prévenir et contrer efficacement les cybermenaces émergentes, connues et inconnues. Ses technologies, entièrement conçues dans l'UE, couvrent la protection des terminaux, du cloud et des systèmes mobiles, et se distinguent par leur robustesse, leur efficacité et leur facilité d'utilisation, offrant ainsi une défense en temps réel 24/7 aux entreprises, infrastructures critiques et utilisateurs individuels. Grâce à ses centres de recherche et développement et son réseau mondial de partenaires, ESET propose des solutions de cybersécurité intégrant un chiffrement ultra-sécurisé, une authentification multifactorielle et des renseignements approfondis sur les menaces, s'adaptant constamment à l'évolution rapide du paysage numérique.
Pour plus d’informations, consultez www.eset.com/fr
et suivez-nous sur LinkedIn, Facebook et Instagram.