ASHVEIN, il RAT “invisibile” di UAC-0099: credenziali rubate e comandi nascosti nell’HTML contro l’Ucraina

Il gruppo di minaccia UAC 0099, considerato allineato alla Russia, è stato collegato a un malware finora poco documentato chiamato ASHVEIN, un infostealer e RAT sviluppato in .NET e impiegato in campagne contro personale del governo ucraino. La nuova attribuzione colloca questo set di intrusioni in una traiettoria di cyber spionaggio in continua evoluzione, con un passaggio progressivo da strumenti basati su PowerShell e Go verso binari compilati in C# e .NET, spesso protetti e offuscati per ridurre la rilevabilità.

ASHVEIN, noto internamente anche come TelemetryBrowser, combina furto di credenziali, sorveglianza e controllo remoto. Tra le capacità più rilevanti spiccano l’estrazione di password e dati dai browser Chrome e Firefox, la cattura di screenshot tramite GDI, la raccolta e l’esfiltrazione di file, l’esecuzione di comandi tramite PowerShell in modalità shell remota, il fingerprinting del sistema e comunicazioni cifrate con il server di comando e controllo (C2). Un elemento distintivo della catena C2 è la tecnica di nascondere i comandi in elementi HTML invisibili, un approccio utile per confondere analisi automatiche e controlli basati su pattern.

Sul piano della distribuzione, ASHVEIN viene consegnato con più metodi. Sono stati osservati DLL sideloading, container VHD e droppers dedicati in .NET. In un caso, un eseguibile denominato AnswerFromPolice incorpora un documento Word esca che imita una comunicazione della Polizia Nazionale ucraina, mostrando il contenuto legittimo all’utente mentre il payload malevolo viene installato in background. Questa tecnica di impersonificazione istituzionale aumenta la probabilità di apertura e fiducia, rendendo la campagna particolarmente efficace in contesti amministrativi.

Il quadro si inserisce in una storia operativa iniziata almeno dal 2022, con un arsenale che include loader, keylogger, backdoor e stealer come LONEPAGE, THUMBCHOP, CLOGFLAG, MATCHBOIL e DRAGSTARE. In parallelo, le varianti più recenti mostrano maggiore attenzione a evasione e anti-analisi, ad esempio controlli contro ambienti virtuali e logiche temporali per interrompere l’esecuzione in scenari sospetti. È stata inoltre osservata una sperimentazione mirata a ostacolare analisi assistite da AI, anche se non sembra essere una tattica stabile nel tempo.

L’obiettivo operativo appare in espansione oltre il perimetro governativo e militare, includendo logistica civile e infrastrutture critiche, coerentemente con l’importanza strategica delle catene di approvvigionamento nel conflitto.