UAC-0099, Ukrayna’daki devlet kurumlarını, finans kuruluşlarını ve medya kuruluşlarını hedef alan bir siber casusluk grubu. Hedefleme kriterlerine dayanarak güvenlik uzmanları, grubun Rus çıkarlarıyla uyumlu olduğunu; UAC-0099’un, Ukrayna’daki yıkıcı saldırılarıyla tanınan ve yine Rusya ile uyumlu bir başka grup olan Sandworm için ilk erişim aracısı olarak hareket edebileceğini düşünüyor.
UAC-0099, C&C sunucularını barındırmak için BitLaunch gibi sanal özel sunucuları ve bunları gizlemek için Cloudflare gibi bulut hizmetlerini kullanıyor. Bu sunucular hem HTTP hem de HTTPS kullanıyor.
MATCHBOIL, ilk olarak Ağustos 2025’te CERT-UA tarafından belgelenmiş olsa da güvenlik araştırmaları, yazılımın en azından 2024 yılından beri geliştirilmekte olduğunu gösteriyor. Güvenlik araştırma ekibinin analiz ettiği kötü amaçlı yazılımın en eski sürümleri Nisan 2024’e, en yenileri ise Nisan 2026’ya aittir; indiricinin her yeni sürümü bir öncekinden daha gelişmiştir.
Telemetri verilerinde tespit ettiği MATCHBOIL siber casusluk saldırılarının tüm kurbanları, Ukrayna’da çeşitli sektörlerde faaliyet gösteren kuruluşlardı. Temmuz-Ağustos 2025 arasında, birçok ulaştırma şirketinde bu indiricinin örneklerini tespit etti. Aynı yılın Aralık ayında ise bir imalat şirketinde görüldü. Daha sonra, Haziran 2026’da telemetri verileri, bu kez enerji sektöründeki bir şirkette yeni MATCHBOIL örneklerini kaydetti.
Research’ün Nisan 2024’ten Nisan 2026’ya kadar MATCHBOIL örnekleri üzerinde yaptığı inceleme, kod düzeyindeki yapıdan .NET Reactor gizleme aracının kullanımına kadar birçok değişikliği ortaya çıkardı; bunların tümü nispeten kısa bir sürede hayata geçirildi. Bu durum, UAC-0099 operatörlerinin indirme aracını geliştirmeye büyük ilgi duyduklarını göstermektedir; bu ilgi, yalnızca güvenlik çözümleri tarafından tespit edilmekten kaçınmakla kalmayıp, gelecekteki saldırılarda araç setlerinin önemli bir parçası olarak kullanmak amacıyla da ortaya çıkmaktadır.
