Uac-0099

ESET พบว่า UAC-0099 เจาะบริษัทโลจิสติกส์ยูเครนด้วยอีเมลฟิชชิงเมื่อ 16 ก.ค. 2568 แล้วส่งต่อให้ Sandworm ล้างข้อมูลเมื่อ 17 ก.ย. 2568 ระหว่างนั้น UAC-0099 ใช้แบ็กดอร์ตัวใหม่ชื่อ MythicRatatoskr ที่ติดต่อเซิร์ฟเวอร์สั่งการภายในเครือข่ายเมช Yggdrasil แบ็กดอร์นี้รันคำสั่ง ถ่ายภาพหน้าจอ รับส่งไฟล์ และเปิดพร็อกซี SOCKS5 ได้ Sandworm ปิดฉากด้วยการกระจาย SDelete ผ่าน Group Policy ของ Active Directory ESET ระบุว่านี่เป็นกรณีแรกที่มีการบันทึกว่ากลุ่มที่รัฐหนุนใช้ Yggdrasil ในลักษณะนี้

บริษัท TrendAI เปิดเผย ASHVEIN มัลแวร์ .NET แบบ infostealer และ RAT ของกลุ่ม UAC-0099 ที่ฝักใฝ่รัสเซีย ใช้โจมตีเจ้าหน้าที่รัฐบาลยูเครน ASHVEIN ขโมยรหัสผ่านเบราว์เซอร์ จับภาพหน้าจอ ดึงไฟล์ และรัน PowerShell โดยซ่อนคำสั่งไว้ในองค์ประกอบ HTML ที่มองไม่เห็น การส่งมัลแวร์ใช้ DLL sideloading ไฟล์ VHD และ dropper ที่ปลอมเป็นเอกสารตอบกลับจากตำรวจแห่งชาติยูเครน TrendAI ชี้ว่าเป้าหมายขยายจากรัฐและทหารไปยังผู้ประกอบการขนส่งและโครงสร้างพื้นฐานพลเรือน

บริษัท ESET เผยแพร่ผลวิเคราะห์ MatchBoil ดาวน์โหลดเดอร์ภาษา C# ของกลุ่มจารกรรม UAC-0099 ที่เชื่อว่าสอดคล้องกับผลประโยชน์รัสเซีย ตัวอย่างระหว่าง เม.ย. 2567 ถึง เม.ย. 2569 แสดงการพัฒนาต่อเนื่องจาก downloader ที่ทำงานครั้งเดียวเป็นตัวที่ติดต่อ C2 ทุก 2 นาที เวอร์ชันใหม่ใช้ .NET Reactor ตรวจ sandbox จากเวลา uptime ใน Event Log และแสดงหน้าต่างแอปปลอม เหยื่อที่พบทั้งหมดอยู่ในยูเครน ไล่จากขนส่ง การผลิต สู่พลังงาน ESET ประเมินว่ากลุ่มนี้อาจเป็นนายหน้าส่งต่อสิทธิ์เข้าถึงให้ Sandworm

บริษัท ESET เปิดเผยเทคนิคใหม่ชื่อ GuardBreaker ที่กลุ่ม UAC-0099 ซึ่งเข้าข้างรัสเซียใช้โจมตีเป้าหมายในยูเครน โดยแทรกข้อความว่าต้องการสร้างอาวุธนิวเคลียร์ไว้เป็นคอมเมนต์ในสคริปต์ VBS ที่เป็นอันตราย เพื่อกระตุ้นกลไกความปลอดภัยของโมเดลภาษาขนาดใหญ่ให้หยุดวิเคราะห์โค้ดส่วนที่เหลือ สคริปต์ดังกล่าวมีหน้าที่ดาวน์โหลดและติดตั้งตัวโหลด MATCHBOIL ที่กลุ่มนี้ใช้เฉพาะตัว เทคนิคลักษณะเดียวกันเคยถูกใช้ในแคมเปญโจมตีห่วงโซ่อุปทาน Mini Shai-Hulud, Miasma และ Hades มาก่อน

หน่วย CERT-UA ของยูเครนเปิดโปงแคมเปญกระจายไฟล์บีบอัดที่บรรจุโปรแกรม Notepad++ ของแท้พร้อมเครื่องมืออันตรายชื่อ LunchPoke ปลอมเป็นปลั๊กอินเพื่อฝังตัวในเครื่อง โดยระบุว่าเป็นฝีมือกลุ่ม UAC-0099 ที่เล็งเป้าองค์กรในยูเครนและเคยเป็นผู้เปิดทางให้กลุ่ม APT44 หรือ Sandworm เข้าโจมตี ผู้โจมตีไม่ได้เจาะช่องโหว่หรือทำ supply chain แต่อาศัยกลไกโหลดปลั๊กอินปกติของ Notepad++ ให้โหลด DLL อันตราย ปูทางสู่ตัวโหลดมัลแวร์หลายชั้นและสร้าง scheduled task ฝังตัว