大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
俄乌冲突不止炮火纷飞，针对乌克兰政府、能源、交通、制造业的网络间谍行动一直在持续。ESET研究团队梳理了UAC‑0099团伙的核心武器——MATCHBOIL C加载器从2024年4月到2026年4月完整演变轨迹。
这款恶意加载器两年间持续迭代混淆、沙箱逃逸、伪装欺骗、持久化技术，从简单一次性下载工具，进化成具备定时轮询、虚假GUI迷惑、多重反分析能力的成熟武器，主要用于投放专属后门MATCHWOK，该组织还可以为Sandworm（沙虫）APT提供初始访问入口。
背景科普：UAC‑0099，自2022年开始活跃，偏向俄罗斯利益，主要针对乌克兰政府机构、金融、媒体、关键基础设施，除MATCHBOIL之外还使用LONEPAGE PowerShell下载器。攻击入口以鱼叉钓鱼邮件为主。
🎣攻击入口：钓鱼邮件+VBS脚本投递
整套攻击链路起点是鱼叉钓鱼邮件：
受害者收到钓鱼邮件，点击邮件内链接下载压缩包，压缩包内含VBS脚本。需要受害者手动运行VBS脚本，脚本会在后台下载并启动MATCHBOIL。
VBS还会负责建立第一层持久化，保障恶意加载器可以反复运行。
MATCHBOIL本体核心工作逻辑：
1. 检查`%LOCALAPPDATA%`下专属目录是否存在，存在直接退出，避免重复感染；
2. WMI查询采集受害主机指纹：CPUID、BIOS序列号、MAC地址、计算机型号、用户名等；
3. 发起三次HTTPS请求和C2服务器交互：
请求1：获取数字ID，作为后续请求HTTP头部参数，用来选择对应载荷；
请求2：获取HTML页面，用正则提取页面中十六进制编码的恶意payload（MATCHWOK后门）；
请求3：获取配置字符串，保存为配置文件；
4. 解码落地后门程序，通过注册表Run启动项或者计划任务实现持久化驻留。
📈两年迭代：MATCHBOIL版本变迁，能力步步升级
✅2024初代版本：朴素的一次性下载器
混淆手段：类名、方法名全部使用不可打印Unicode特殊符号，字符串使用自定义XOR移位加密；
信息采集：仅获取CPU ID、BIOS序列号；
C2通信：自定义`SN`头传递主机指纹，`Count`头部传递服务器返回的ID；
持久化：注册表Run键 + 计划任务双重持久化；
执行模式：一次性执行，下载完载荷之后就结束运行，没有轮询能力；
落地路径：`%LOCALAPPDATA%\DeviceMonitor`。
早期样本逻辑简单，容易逆向分析，没有沙箱检测逻辑。
✅2025‑07版本：异步改造，采集更多主机信息
改用.NET Task异步任务模式，请求串行等待返回结果；
采集信息进一步扩充：MAC物理地址、计算机厂商与硬件型号；
持久化简化，仅使用Windows Run注册表启动项；
使用WMI的`Win32_Process`创建进程执行落地后的后门。
✅2025年底（11‑12月）重大改版，变化巨大
这是一次里程碑升级，大量对抗能力新增：
1. 混淆升级：放弃自研加密，使用商业工具Eziriz .NET Reactor，开启虚拟化、控制流混淆，逆向难度大幅上升；
2. 新增虚假GUI诱饵界面：
如果用户直接双击exe运行（不带`‑auto`参数），程序弹出一个“每日计划工具”窗口，界面上是一张惊讶小猫图片，窗口还出现拼写错误。后台恶意逻辑不执行，用来迷惑手动点开样本的用户。只有带`‑auto`参数启动，才执行真正恶意行为。
3. 新增沙箱/分析环境检测
读取Windows事件日志ID 6013，解析系统开机运行时间，同时支持俄语正则匹配；只有系统运行时长大于2小时，才继续执行，用来避开快速销毁的沙箱虚拟机；
检测调试器是否附加；
4. 从“一次性”变为两分钟定时轮询，定时访问C2，随时更新后门载荷；
5. 互斥体命名`Global\PlannerAssistant`，落地目录搞笑命名`%LOCALAPPDATA%\MeowCheck\`，恶意程序叫`MeowMeowProgramm.exe`；
6. C2头部字段变化，第二个请求头部改为`Answer`；
7. 载荷临时伪装保存为图片`WallpappersSet.jpg`，配置文件放到公共库目录`config.library‑ms`；
8. 持久化改为7分钟周期的计划任务`UpdateCheckers\DailyPlanner`；
9. 部分样本把核心C2通信逻辑剥离到独立DLL `AdditionalLib.dll`。
✅2026最新版本（MATCHBOIL.V2，4月样本）
继续优化伪装，降低可疑度：
1. 启动参数继续迭代：先后出现`‑plans`、`‑renew`参数；没有正确参数，弹出新伪装GUI：正则表达式文本搜索工具界面；
2. 新增一项沙箱检测：对比操作系统安装日期和程序运行时间，如果系统安装时间距离现在超过10天则退出；进一步对抗快速部署的分析虚拟机；
3. 形态改变：从EXE主程序 → DLL组件，依靠外部C加载器启动；
4. 名字彻底去“喵星人”搞笑命名，伪装成邮件客户端：落地路径`%LOCALAPPDATA%\SMTPClient`，程序名`SMTPClientApplication.exe`；计划任务命名`MailClient\Checker`，看起来像正常邮件软件组件。
可以看到攻击者很清楚：过于猎奇的文件名容易被安全产品标记，所以新版本全部换成业务软件的普通命名。
🛰️C2基础设施细节
租用BitLaunch VPS作为C2服务器，前端套Cloudflare做流量隐藏；
TLS证书使用Let’s Encrypt免费证书，不同域名不复用证书；
使用HTTPS加密通信，载荷藏在HTML网页内，十六进制编码，利用正则提取，迷惑网络检测。
⚠️防御告警要点（企业安全可直接落地）
1. 钓鱼仍是第一入口：针对政府、能源、制造、交通行业的员工，警惕来历不明压缩包、VBS脚本附件；VBS运行后后台下载C可执行文件需要重点告警。
2. 重点监控异常行为：
.NET程序依赖特定命令行参数（`‑auto`、`‑renew`）才执行恶意逻辑，双击直接打开展示虚假GUI；
读取Windows事件日志EventID=6013获取系统开机时长；
计划任务周期2/7/15分钟高频运行C程序；
程序采集CPUID、BIOS序列号、MAC地址等大量硬件指纹，上报外网HTTPS服务；
从HTML响应里面通过正则提取十六进制数据，落地成PE后门；
恶意文件放置在`%LOCALAPPDATA%`、公共库目录、图片目录，伪装成jpg、library‑ms配置文件。
3. 警惕.NET Reactor强混淆C样本；UAC‑0099工具链包含MATCHBOIL加载器、MATCHWOK后门。
4. 该团伙可作为Sandworm初始访问，一旦沦陷不止信息窃取，还有遭受破坏性攻击风险。
✍️写在最后
从2024简单下载器，到2026的DLL形态、多层沙箱对抗、多套虚假GUI伪装，MATCHBOIL的迭代充分说明：APT组织会持续打磨自有武器库，不断调整混淆、伪装、持久化手段对抗防御产品。
攻击者的核心目标始终没变：通过鱼叉钓鱼实现入侵，下载专属后门MATCHWOK，完成间谍窃密。花样翻新只是外衣，恶意意图始终如一。
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。