Een door Rusland gelieerde dreigingsactor, UAC-0099, is gekoppeld aan een nieuwe .NET infostealer en remote access trojan (RAT) die de naam ASHVEIN RAT krijgt. TrendAI meldt dat de malware wordt ingezet in aanvallen op Oekraïense overheidsmedewerkers en dat de ontwikkelaars er intern naar verwijzen als “TelemetryBrowser”.
Wat ASHVEIN RAT extra interessant maakt voor defenders, is de manier waarop het commando’s en taakstelling kan verbergen in ogenschijnlijk onschuldige HTML-structuren. In combinatie met diefstal van inloggegevens, surveillance-functies en geëncrypteerde communicatie ontstaat zo een veelzijdige toolkit voor cyberespionage.
Wie is UAC-0099 en waar richt ASHVEIN RAT zich op?
UAC-0099 is eerder door CERT-UA gedocumenteerd, met een eerste beschrijving in juni 2023. Sinds ten minste medio 2022 richt de actor zich volgens beschikbare rapporten op instellingen in Oekraïne, waaronder organisaties rond defensie, grensbewaking en logistiek.
TrendAI identificeert daarbij een bredere activiteitcluster met de naam Earth Sirrush, eerder ook gerelateerd aan SHADOW-EARTH-065. ESET beschrijft de actor in een APT Activity Report (november 2025) als een mogelijke “initial access broker” voor Sandworm, een Russische APT die bekendstaat om destructieve aanvallen tegen Oekraïne.
Wat doet de ASHVEIN RAT precies?
ASHVEIN RAT bundelt meerdere rollen in één malwarefamilie. De functionaliteit gaat verder dan alleen het stelen van credentials; er is ook sprake van surveillance en remote control. Concreet noemt TrendAI onder andere:
- Diefstal van inloggegevens uit Chrome en Firefox
- Screenshot-capures op basis van GDI
- Bestandsinventarisatie en -retrieval
- PowerShell remote shell voor beheer op afstand
- Systeemfingerprinting (profilering van de omgeving)
- Geëncrypteerde command-and-control (C2) voor communicatie met de aanvaller
Daarnaast valt op dat sommige varianten taakstelling niet “zichtbaar” teruggeven, maar verstoppen in onzichtbare HTML-elementen. Daarmee wordt het lastiger om netwerkverkeer of payload-gedrag direct te herkennen, zeker wanneer het als onderdeel van webdata lijkt te functioneren.
Commando’s verbergen in HTML: waarom dat werkt
Het verstoppen van commando’s in HTML is een vorm van tradecraft die inspeel op het idee dat defenders en automatisering vooral letten op bekende indicatoren: url-patronen, domeinbezoeken of typische malware-strings. Door taakstelling in HTML te plaatsen—en deels onzichtbaar te maken—kan de malware zich beter mengen met de normale output of verwerking van webcontent.
De broninformatie geeft aan dat ASHVEIN RAT hierbij ook terug kan vallen op extra mechanismen, zoals een GitHub-based dead drop resolver. Dat vergroot de veerkracht: zelfs als één deel van de route niet werkt, kan de malware toch proberen volgende stappen te verkrijgen.
Distributie en “delivery”: meerdere routes voor dezelfde payload
Voor UAC-0099 lijkt één leveringsmethode niet genoeg. ASHVEIN RAT wordt volgens TrendAI in verschillende vormen aangeboden, met onder meer:
- DLL sideloading (in de berichtgeving ook aangeduid als FORGECLAMP)
- VHD-containers
- Specifieke .NET droppers die gericht payloads kunnen laden
Een voorbeeld van zo’n decoy/payload-combinatie is “AnswerFromPolice”. Daarbij zit volgens TrendAI een Microsoft Word-document ingekapseld dat pretendeert een reactie te zijn van de National Police of Ukraine. Het document dient als lokaas om ontvangers sneller te laten klikken en het bestand te vertrouwen.
Het decoy werkt in tandem met het verborgen malwaregedrag: terwijl de gebruiker het “institutie-achtige” document ziet, wordt de echte lading op de achtergrond ingezet. Dit soort combinatie vergroot de kans dat het slachtoffer de inhoud als legitiem accepteert.
ASHVEIN RAT en de evolutie van UAC-0099
UAC-0099 heeft door de jaren heen een groeiende set tooling ingezet. TrendAI noemt meerdere malwarefamilies die in verschillende periodes actief waren, waaronder PowerShell- en Go-gebaseerde componenten. Later verschuift de ontwikkeling richting gecompileerde C#/.NET onderdelen en binaries die worden beschermd of verpakt.
ASHVEIN RAT wordt in de berichtgeving gelabeld als onderdeel van een update in het arsenaal vanaf oktober 2025 (met varianten die tussen 8 en 23 oktober zijn gecompileerd). Tegelijkertijd is er functionele overlap met andere families, zoals DRAGSTARE, met betrekking tot credential theft, screenshots, bestandsverzameling en WMI-fingerprinting.
Het belangrijkste verschil zit volgens de aangehaalde analyses in de bouwomgeving en verpakking: de parallelle ontwikkeling onder verschillende developer-accounts wijst op meerdere sporen in dezelfde operationele behoefte, waarbij men toch aparte varianten creëert.
GuardBreaker en de link met AI-assist analysis
Naast klassieke cyberespionage laat de berichtgeving ook zien dat de actor inspeelt op defensieve workflows. ESET stelt dat UAC-0099 tegen een Oekraïense target de techniek GuardBreaker heeft ingezet om AI-ondersteunde analyse te verstoren.
Het gaat volgens de beschrijving om een malicious VBScript waarin een prompt is opgenomen die instructies vraagt om een kernwapen te maken. Het doel daarvan lijkt het activeren van veiligheidsmechanismen van grote taalmodellen (LLM’s) om vervolgens te voorkomen dat de rest van de code verder wordt geanalyseerd.
In deze context fungeert de VBScript als een kanaal (conduit) voor MATCHBOIL. Door defensieve tooling—of het nu menselijk of AI-gestuurd is—te “verstoren” via prompts, kan de actor vertraging of gemiste inzichten veroorzaken.
Wat betekent dit voor organisaties?
Hoewel de details in deze casus vooral draaien om ASHVEIN RAT en UAC-0099, kun je het bredere patroon meenemen in je beveiligingsaanpak. Denk daarbij aan drie kernpunten: credential bescherming, detectie van verdachte remote control en het herkennen van decoys en verpakking.
- Bescherm account-credentials: let op ongebruikelijke toegang tot browser-gerelateerde gegevens en voer waar mogelijk hardening en monitoring in op endpoints.
- Let op remote shell signalen: PowerShell-gedrag in combinatie met download- en persistence-achtige stappen verdient extra aandacht, zeker wanneer het afwijkt van normaal gebruik.
- Hanteer decoy-bewustzijn: documenten die institutionele namen imiteren (zoals politieverwijzingen) kunnen samen met achtergronddeployments werken. Maak gebruikers bewust van “openen om te controleren”-risico’s en koppel dit aan technische controles.
Wie zijn team aan de hand van praktijkvoorbeelden wil trainen, kan ook kijken naar eerdere berichtgeving over social engineering en bewustwording. Bijvoorbeeld: Bron: https://thehackernews.com/2026/10/uac-0099-targets-ukrainian-government.html
