러시아 연계 세력, ‘MatchBoil’ 악성코드 은밀성 강화

러시아 연계 세력, ‘MatchBoil’ 악성코드 은밀성 강화

• 러시아 연계 의심 조직 UAC-0099가 우크라이나 운송·제조·에너지 기업을 노리고 MatchBoil로 MatchWok 백도어를 설치한다.
• MatchBoil은 피싱 링크의 VBScript로 유입된 뒤 C2 서버에서 추가 페이로드를 받아 실행하고, 감염 시스템 정보를 식별자로 활용한다.
• 2024년형의 단순 난독화는 2026년 .NET Reactor·샌드박스 점검으로 바뀌었고, 지속 실행 방식도 레지스트리에서 작업 스케줄러로 변했다.
• ESET은 2024년 4월부터 2026년 4월까지 시료를 분석했으며, 2025년 말 MatchBoil이 2분마다 C2에 접속하도록 진화했다고 밝혔다.
• UAC-0099는 2023년부터 활동했고 Sandworm의 초기 침투 중개조직일 가능성이 있어, 산업망 침투가 파괴적 공격의 전단계가 될 수 있다.
• 한국은 운송·제조·에너지 분야에서 피싱 차단과 2분 주기 외부통신 탐지를 우선화하고, 민관 위협정보 공유로 변종 대응 역량을 확보해야 한다.

정책 담당자는 핵심 산업의 피싱 대응을 강화하고, ESET 지표를 활용한 C2·예약 작업 탐지를 공공 조달 기준에 반영해야 한다.

주요 용어: 다운로더(추가 악성코드를 내려받는 프로그램), C2 서버(공격자가 감염 시스템을 원격 통제하는 서버)

출처: Dark Reading