Giả mạo plugin Notepad++ để triển khai MATCHBOIL.V2 trong chiến dịch UAC-0099
"CERT-UA reported a phishing campaign by UAC-0099 that uses a fake Notepad++ plugin to load MATCHBOIL.V2 on Windows systems. The attack chain delivers a VBScript and staged archives to install a malicious DLL plugin, establish persistence via scheduled tasks, and load a C#-based secondary payload; CERT-UA advised updating Notepad++, WinRAR, and 7-Zip to reduce exposure to known vulnerabilities."
Chuỗi tấn công kết hợp giả mạo plugin, tải payload nhiều giai đoạn và persistence bằng scheduled task, có thể dẫn tới thực thi mã tùy ý và duy trì truy cập dài hạn. Điểm đáng chú ý gồm nạp DLL qua Notepad++, khởi tạo scheduled task, và tải payload C#.
Nếu thành công, chiến dịch có thể gây gián đoạn vận hành và tăng rủi ro rò rỉ dữ liệu do kẻ tấn công duy trì quyền truy cập. Ảnh hưởng thường tập trung vào máy trạm Windows và quy trình xử lý tệp/ứng dụng, đồng thời làm tăng chi phí xử lý sự cố khi cần rà soát scheduled task và thành phần tải về.
CERT-UA cảnh báo một chiến dịch mới nhắm vào Windows, trong đó kẻ tấn công giả mạo plugin Notepad++ để tải mã độc MATCHBOIL.V2. Hoạt động được gán cho cụm đe doạ UAC-0099 (liên quan Nga), từng liên quan việc khai thác lỗ hổng trong WinRAR để phân phối mã độc trước đó.
Chuỗi tấn công bắt đầu bằng email lừa đảo đính kèm hình ảnh. Khi người dùng bấm, một URL bị che giấu bằng link shortener sẽ chuyển sang dịch vụ chia sẻ tệp để tải về một ZIP. Bên trong là VBScript giả dạng tài liệu PDF: việc mở tệp sẽ tải một PDF mồi nhử, đồng thời âm thầm tải thêm kho lưu trữ “Evernote.zip”. Kho này chứa bản sao Notepad++ 8.8.3 hợp lệ, plugin độc hại NppExport.dll, tệp updater.rar (có mật khẩu) và winrar.exe.
VBScript trích xuất nội dung, khởi chạy Notepad++ để nạp NppExport.dll (mã LUNCHPOKE). DLL này giải nén RAR, cài cơ chế persistence bằng scheduled task chạy “RemoteLibUpdater.exe” mỗi 3 phút, sau đó nạp payload phụ viết bằng C# thông qua InitTest.dll (biến thể MATCHBOIL.V2). CERT-UA khuyến nghị cập nhật Notepad++, WinRAR và 7-Zip lên phiên bản mới nhất để giảm nguy cơ bị khai thác lỗ hổng đã biết.