Beveiligingsbedrijf TrendAI heeft een nieuwe malwarefamilie toegeschreven aan de Rusland-gelieerde hackersgroep UAC-0099: een .NET-infostealer met functies voor toegang op afstand, die de onderzoekers ASHVEIN noemen. Volgens TrendAI wordt de malware ingezet tegen Oekraïense overheidsmedewerkers. Het bedrijf volgt de bijbehorende cluster onder de naam Earth Sirrush, eerder aangeduid als SHADOW-EARTH-065.
ASHVEIN, intern door de ontwikkelaars “TelemetryBrowser” genoemd, combineert gegevensdiefstal, surveillance en toegang op afstand. De malware steelt inloggegevens uit Chrome en Firefox, maakt schermafbeeldingen via de Windows GDI-interface, doorzoekt en kopieert bestanden, start op afstand een PowerShell-shell en stuurt alles versleuteld terug naar de aanvallers. Opvallend is dat ASHVEIN opdrachten verstopt in onzichtbare HTML-elementen. Sommige varianten vallen bij uitval terug op een dead drop-mechanisme via GitHub. Voor de verspreiding gebruikt de groep DLL-sideloading, ook wel FORGECLAMP genoemd, VHD-containers en op maat gemaakte .NET-droppers.
Eén van die droppers, AnswerFromPolice, toont slachtoffers een Word-document dat doet voorkomen alsof het een reactie van de Nationale Politie van Oekraïne is, terwijl op de achtergrond de malware wordt geïnstalleerd. Volgens TrendAI vergroot die combinatie van een geloofwaardig ogend document en een imitatie van een officiële instantie de kans dat ontvangers het bestand openen en vertrouwen.
Jarenlange geschiedenis van aanvallen op Oekraïne
UAC-0099 is niet nieuw. CERT-UA documenteerde de groep voor het eerst in juni 2023, maar de aanvallen op Oekraïense overheids-, defensie-, grenswacht- en logistieke organisaties lopen al sinds medio 2022, kort na de Russische invasie. ESET meldde in zijn APT-activiteitenrapport van november 2025 dat de groep ook als initial access broker kan optreden voor Sandworm, de Russische APT-groep die bekendstaat van destructieve aanvallen op Oekraïne.
Het arsenaal van UAC-0099 is de afgelopen jaren flink uitgebreid, van PowerShell- en Go-gebaseerde tools naar gecompileerde C#- en .NET Reactor-beschermde malware die verstopt zit in steganografische afbeeldingen. ASHVEIN zelf werd voor het eerst gebruikt in oktober 2025. TrendAI identificeerde vijf builds, gecompileerd tussen 8 en 23 oktober van dat jaar, verdeeld over drie verschillende packing-varianten. De malware vertoont functionele overlap met DRAGSTARE, ook bekend als NordDragonScan: beide stelen inloggegevens en schermafbeeldingen en verzamelen bestanden en WMI-vingerafdrukken. Omdat ASHVEIN en DRAGSTARE met andere developer-accounts en een andere packing-aanpak zijn gebouwd, gaat TrendAI uit van parallelle ontwikkeling door verschillende ontwikkelaars voor hetzelfde doel.
Ook MATCHBOIL, een downloader die UAC-0099 sinds minstens april 2024 doorontwikkelt, kreeg een update. Recente versies draaien als DLL via een eigen C#-loader en breken de uitvoering af zodra de installatiedatum van het besturingssysteem meer dan tien dagen ouder is dan de uitvoeringsdatum, een typische truc om sandboxanalyse te omzeilen. Begin september meldden wij nog hoe de groep met de GuardBreaker-techniek een verwijzing naar een kernwapen in malwarecode verstopte om AI-analyse te saboteren. Onderzoeker Fernando Tavella van ESET laat weten dat die truc inmiddels niet meer wordt toegepast.
Voor Nederlandse organisaties is UAC-0099 geen directe dreiging: de groep richt zich vrijwel uitsluitend op Oekraïense doelen. De gebruikte technieken illustreren wel een patroon dat ook bij andere aanvallen terugkomt, namelijk een overtuigend ogend document van een officiële instantie dat in de achtergrond malware installeert. Wees dus terughoudend met onverwachte bijlagen die zich voordoen als correspondentie van een overheidsinstantie, ook als de afzender op het eerste gezicht legitiem overkomt.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
UAC-0099 richt zich vrijwel uitsluitend op Oekraïense doelen, maar de truc met een overtuigend document van een officiële instantie dat op de achtergrond malware installeert, duikt overal op. Wees terughoudend met onverwachte bijlagen die zich voordoen als correspondentie van een overheidsinstantie, ook als de afzender op het eerste gezicht legitiem overkomt.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.