LONDON (IT BOLTWISE) – UAC-0099 soll mit dem.NET-Infostealer und RAT ASHVEIN ukrainische Behördenangestellte angreifen. Die Malware bringt Credential-Theft, Screenshot-Funktionen und Remote-Control in einem Tool zusammen und versteckt Kommandos in unsichtbaren HTML-Elementen. Für die Zustellung setzt das Cluster laut Sicherheitsberichten auf mehrere Wege wie DLL-Sideloading, VHD-Container und speziell gebaute.NET-Dropper. Zusätzlich arbeitet die Gruppe demnach an Weiterentwicklungen, darunter GuardBreaker gegen KI-gestützte Analysen.
Die Aktivitäten rund um den Russia-zugeordneten Threat-Cluster UAC-0099 liefern einmal mehr ein klares Muster: Angreifer optimieren nicht nur Payloads, sondern auch die „Durchreiche“ zwischen Initialzugang und dem eigentlichen Kommando- und Kontrollbetrieb. Im Zentrum der aktuellen Aufmerksamkeit steht der.NET-Infostealer und Remote-Access-Trojaner (RAT) ASHVEIN, intern offenbar als TelemetryBrowser bezeichnet. Sicherheitsforschung ordnet das Vorgehen dem Cluster Earth Sirrush zu, das zuvor unter anderen Namen geführt wurde. Laut den vorliegenden Analysen richtet sich der Toolset speziell gegen ukrainische Regierungsangestellte und weitere staatliche Stellen wie Verteidigungs- und Grenzstrukturen – und das nicht erst seit einem einzelnen Ereignis, sondern mit nachweisbarer Kontinuität über mehrere Jahre.
Technisch wirkt ASHVEIN wie ein modularer Baukasten, der typische Spionage-Elemente in einem einzigen Programmablauf bündelt. Dazu gehören Credential-Theft aus Chrome und Firefox, GDI-basierte Screenshot-Erfassung, Datei-Enumeration sowie das Auslesen und Zurückliefern von Dateien. Für die operative Steuerung setzt der RAT auf PowerShell-basierte Remote-Shell-Ausführung, systemweite Fingerprinting-Funktionen und verschlüsselte Command-and-Control-Kommunikation. Auffällig ist dabei der Mechanismus, mit dem Befehle versteckt werden: Den Berichten zufolge „versteckt“ ASHVEIN Tasking in unsichtbaren HTML-Elementen. Für die Verteidigung ist genau das relevant, weil klassische Netzwerk- und Inhaltsfilter häufig auf auffällige Nutzlasten, klare Protokollstrukturen oder dokumentierte Dateiformate reagieren – während HTML-Kontexte, die zwar geladen, aber visuell nicht erkannt werden, leichter in legitime Web- oder Renderer-Flows einsickern können.
Der nächste Schritt ist die Frage nach Zustell- und Startpfaden, denn gerade dort entscheidet sich, ob ein Toolset im Feld robust läuft. Im vorliegenden Szenario nutzt UAC-0099 laut Sicherheitsberichten mehrere Delivery-Methoden für ASHVEIN: DLL-Sideloading (genannt FORGECLAMP), VHD-Container sowie dedizierte.NET-Dropper. Ein Beispiel ist AnswerFromPolice, ein.NET-Executable, das offenbar eine Microsoft-Word-Datei einbettet, welche als „Antwort“ einer ukrainischen Nationalpolizei auftreten soll. Die Decoy-Datei dient dabei nicht als reine Köderinformation, sondern wird demnach so angezeigt, dass der Nutzer der Institution vertraut – während die eigentliche Malware im Hintergrund abgelegt und gestartet wird. Für Security-Teams bedeutet das: Selbst wenn einzelne Layer wie Office-Entscheidungslogik, Dateivorschauen oder Makro-Sichtbarkeit „unauffällig“ wirken, kann der eigentliche Schaden über versteckte Hintergrundprozesse oder den Dropper selbst erfolgen.
Das Bild wird zudem durch die Entwicklungsgeschichte des Clusters breiter: ESET beschreibt in einem APT Activity Report, dass das Team als Initial-Access-Broker für Sandworm dienen könnte, also als vorgeschaltete Instanz, die Zugänge vorbereitet und weiterreicht. Gleichzeitig wird die Toolchain als kontinuierlich erweitert beschrieben – und sie wandelt sich über der Zeit. Einige zuvor genutzte Ansätze mit PowerShell- und Go-Komponenten seien demnach durch kompiliertes C# und durch.NET Reactor-geschützte Binaries ersetzt bzw. ergänzt worden, die zudem in steganographisch verpackten Bilddateien verborgen sein können. Diese Verschiebung ist strategisch: Mit kompilierten Komponenten und stärkerer Binär-Härtung wird Reverse Engineering aufwendiger; mit Steganografie sinkt die Wahrscheinlichkeit, dass statische Signaturen oder „Datei-Sichtbarkeit“ schnell anschlagen. Interessant ist außerdem, dass die Cluster-Werkzeuge funktional überlappen: ASHVEIN zeigt Schnittmengen zu DRAGSTARE bei Credential Theft, Screenshots, File Collection und WMI-Fingerprinting, während Unterschiede im Packing und in den Build-Umgebungen auf getrennte Entwicklungsstränge hindeuten.
Abseits der Payload-Logik wird auch die „Kritikalität“ der Betriebsumgebung sichtbar. So beschreibt ESET, dass ein Loader namens MATCHBOIL seit mindestens April 2024 aktiv weiterentwickelt wird. MATCHBOIL soll dabei primär darauf spezialisiert sein, weitere Module nachzuladen, zu installieren und persistent zu halten. In beobachteten Iterationen liegt die Ausführung demnach als DLL vor, die durch einen eigenen C#-Loader gestartet wird. Dazu kommt eine Prüfung, ob das System in einer virtuellen Umgebung läuft; zudem wird die Installation des Betriebssystems gegen den Ausführungszeitpunkt verglichen, wobei die Ausführung abgebrochen werden soll, wenn die Installation mindestens zehn Tage älter ist als die Ausführung. Solche „Umfeld-Schranken“ sind für Angreifer doppelt nützlich: Sie reduzieren die Trefferwahrscheinlichkeit in Sandboxen und senken den Aufwand beim Testing, weil Artefakte nicht in typischen Analyse-Setups durchlaufen werden. Für Defender ist das ein Hinweis, dass Detektionsregeln nicht nur nach Payload-Mustern suchen sollten, sondern auch nach wiederkehrenden Vorbedingungen, etwa genau solchen VM- und Zeitlogiken.
Noch einen Schritt weiter geht der Tradecraft in Richtung „KI-Resilienz“. Laut den Berichten beobachtete eine slowakische Sicherheitsfirma eine Technik namens GuardBreaker gegen ein ukrainisches Ziel, um KI-gestützte Analyse zu stören. Der Mechanismus basiert demnach auf einem bösartigen Visual Basic Script (VBScript), das einen Prompt mit Anweisung zur Herstellung einer nuklearen Waffe einbetten soll – mit dem Zweck, die Sicherheitsmechanismen eines Large Language Models so auszulösen, dass das Modell die restliche Codeanalyse nicht vollständig bearbeitet. VBScript fungiert hierbei als „Conduit“ für MATCHBOIL. Unabhängig davon, wie die Modelle konkret antworten, zeigt die Strategie ein praktisches Verständnis von Analyseketten: Wenn ein Verteidiger KI-Assistenten in Workflows einsetzt, kann schon die Formulierung innerhalb eines Artefakts den weiteren Erkenntnisfluss blockieren. Ergänzend deuten die vorliegenden Hinweise darauf hin, dass sich das Zielprofil nicht nur auf Regierung und Militär beschränkt, sondern zunehmend zivile Logistik- und Infrastrukturbetreiber umfasst, die Versorgungsketten in Richtung Ukraine ermöglichen.
Für Unternehmen, die in der Lieferfähigkeit oder in digitalen Operationsprozessen in der Region relevant sind, folgt daraus vor allem eine organisatorische Konsequenz: Es reicht nicht, einzelne Malware-Detektionen isoliert zu betrachten. Die Kombination aus Decoy-Dokumenten, mehrstufiger Dropper-Logik und nicht-trivialen Versteckmechanismen in HTML oder innerhalb von Pack-/Container-Strukturen legt nahe, dass Schutz auf mehreren Ebenen zusammenspielen muss – von Endpoint- und Browser-Schutz über Office-Handling bis hin zu Netzwerk- und Prozess-Korrelation. Gleichzeitig wird deutlich, warum die Beobachtung von Toolset-Entwicklungen für SOC-Teams nicht „historisch“ ist: Loader-Updates, Packing-Varianten und zeitbasierte Ausführungsabfragen verändern die Angriffsoberfläche fortlaufend. Der Blick auf UAC-0099 wirkt damit wie ein Lehrstück dafür, wie schnell sich Spionage-Werkzeuge entlang der Erkennungsfähigkeit der Verteidiger weiterentwickeln.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ASHVEIN (UAC-0099): RAT tarnt Befehle in unsichtbarem HTML gegen Ukraine" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ASHVEIN (UAC-0099): RAT tarnt Befehle in unsichtbarem HTML gegen Ukraine" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ASHVEIN (UAC-0099): RAT tarnt Befehle in unsichtbarem HTML gegen Ukraine« bei Google Deutschland suchen, bei Bing oder Google News!