ウクライナサイバーセキュリティ司令部(CERT-UA)は、脅威グループUAC-0099がNotepad++拡張機能のように見せかけた悪性ソフトウェアを用いてWindowsシステムを標的とする新たなキャンペーンを確認した。このキャンペーンはMATCHBOIL.V2という悪性ソフトウェアの配布を含む。

キャンペーンはフィッシングメールから始まり、ユーザーに画像添付ファイルをクリックさせてURLに誘導する。このURLはファイル共有サービスEasySend[.]coにZIPファイルのダウンロードを要求する。ZIPファイルにはVBScriptが含まれ、ユーザーにPDF文書のように見えるファイルを実行させる。

このスクリプトは、ユーザーの注意を引くためにPDFファイルをダウンロードして表示すると同時に、静かに'Evernote.zip'という別のZIPファイルをダウンロードする。このファイルには、Notepad++ 8.8.3の完全なコピー、悪性DLL拡張機能('NppExport.dll')、暗号化されたZIPファイル('updater.rar')、およびWinRAR実行ファイル('winrar.exe')が含まれる。

VBScriptの主な目的は、ZIPファイルの内容を展開してNotepad++を起動し、'NppExport.dll'をロードすることである。LUNCHPOKEとコードネームされたこのDLLは、RARファイルを展開し、'RemoteLibUpdater.exe'と'InitTest.dll'を特定のディレクトリに配置するように設計されている。'RemoteLibUpdater.exe'はBURNYBEARと呼ばれ、'InitTest.dll'をロードするために使用され、これはMATCHBOIL.V2の改変版である。

CERT-UAは、組織がWinRAR、7-Zip、Notepad++を最新版に更新することで、既知の脆弱性の悪用を防ぐよう推奨している。