UAC-0099 usa GuardBreaker: il malware “nucleare” russo prova a fermare l’analisi AI

🛡️ Executive Summary

• UAC-0099 inserisce testo sensibile sulle armi nucleari nei commenti di script VBS per tentare di attivare i guardrail degli LLM.
• La tecnica GuardBreaker punta a interrompere l’analisi AI prima che il sistema raggiunga il codice che scarica e installa MATCHBOIL.
• ESET avverte che l’analisi malware non può dipendere esclusivamente dagli LLM ma deve combinare sandbox, telemetria, euristiche e revisione umana.

Il gruppo UAC-0099, attore allineato alla Russia e impegnato in operazioni contro obiettivi ucraini, sta sperimentando una nuova forma di evasione costruita non per ingannare direttamente Windows o un antivirus tradizionale, ma per manipolare gli strumenti di sicurezza basati su LLM. ESET ha chiamato la tecnica GuardBreaker: all’interno di uno script VBS malevolo gli operatori inseriscono come semplice commento una richiesta relativa alla costruzione di un’arma nucleare, con l’apparente obiettivo di fare scattare i filtri di sicurezza del modello e interrompere l’analisi del resto del codice. Dietro il testo provocatorio rimane la funzione reale dello script: distribuire MATCHBOIL, malware associato esclusivamente alle attività conosciute di UAC-0099 contro Ucraina, trasporti ed energia.

GuardBreaker usa i safety filter contro gli strumenti che analizzano il malware

La tecnica descritta da ESET Research sfrutta una differenza fondamentale tra ciò che vede l’interprete e ciò che vede un sistema di analisi AI. Per VBScript, una riga inserita come commento non viene eseguita e non modifica direttamente il comportamento del malware. Per un LLM che riceve l’intero script come testo da esaminare, invece, quella stessa frase entra nel contesto semantico della richiesta. UAC-0099 ha inserito un riferimento esplicito alla costruzione di un’arma nucleare, contenuto appartenente alle categorie sulle quali molti modelli applicano guardrail particolarmente aggressivi. L’ipotesi operativa è che un sistema di triage scarsamente progettato possa concentrarsi sul contenuto CBRN, attivare un refusal e interrompere l’esame prima di raggiungere la parte realmente pericolosa dello script.

Il codice non deve ingannare Windows ma il modello che lo legge

La novità consiste proprio nella separazione tra execution flow e analysis flow. Il payload non diventa tecnicamente più complesso e il testo inserito dagli operatori non deve essere interpretato dalla macchina compromessa. Serve invece a modificare il comportamento dello strumento utilizzato dal difensore. È una forma di adversarial input concettualmente vicina alla prompt injection indiretta capace di trasformare repository GitHub in istruzioni ostili per agenti AI: il dato analizzato contiene istruzioni che non appartengono al compito dell’agente ma possono essere erroneamente trattate come parte del prompt operativo. Nel caso GuardBreaker il risultato atteso non è indurre il modello a eseguire un comando, bensì convincerlo a non continuare il lavoro. ESET sottolinea quindi che AI e machine learning non possono essere considerati una difesa autosufficiente: analisi comportamentale, reputation, sandboxing, euristiche, telemetria e competenze umane devono rimanere livelli indipendenti, capaci di continuare a funzionare anche quando il modello viene manipolato.

UAC-0099 usa lo script per distribuire MATCHBOIL contro obiettivi ucraini

Il commento GuardBreaker nasconde una catena che appartiene a un’infrastruttura offensiva già conosciuta. Lo script VBS viene utilizzato per scaricare e installare MATCHBOIL, loader C# impiegato da UAC-0099 per distribuire ulteriori payload. Il gruppo è attivo almeno dal 2022 e CERT-UA lo ha più volte collegato a campagne di phishing contro enti governativi, forze armate e organizzazioni dell’industria della difesa ucraina. Nel luglio 2026 la stessa infrastruttura è stata osservata in una campagna nella quale un falso plugin di Notepad++ portava all’esecuzione di una nuova variante denominata MATCHBOIL.V2. La catena partiva da email di phishing, utilizzava collegamenti abbreviati e servizi di file sharing e portava al download di un archivio contenente una copia legittima di Notepad++ insieme a componenti malevoli. Un plugin DLL denominato LUNCHPOKE preparava l’esecuzione, mentre BURNYBEAR agiva come loader e attivava MATCHBOIL.V2.

Da Notepad++ alle infrastrutture energetiche il gruppo mantiene la stessa logica di accesso

UAC-0099 privilegia catene nelle quali software conosciuto, documenti apparentemente legittimi e social engineering costruiscono il primo accesso prima di distribuire malware specializzato. Le campagne precedenti hanno utilizzato anche MATCHWOK, DRAGSTARE e LONEPAGE, oltre allo sfruttamento della vulnerabilità CVE-2023-38831 di WinRAR. La scelta dei target rimane particolarmente sensibile: ESET indica trasporti ed energia tra i settori abitualmente presi di mira. Questo colloca GuardBreaker in un contesto più ampio di operazioni russe contro infrastrutture ucraine, dove l’accesso iniziale può precedere attività molto più invasive. L’ecosistema Sandworm continua infatti a utilizzare tecniche diversificate contro organizzazioni ucraine, come dimostrato dalla campagna con falsi colloqui di lavoro e SopraVPN trojanizzata contro professionisti IT. La presenza di un trucco anti-AI dentro lo script non cambia quindi l’obiettivo primario dell’operazione: ottenere accesso persistente a sistemi che possono successivamente essere sfruttati per spionaggio, movimento laterale o azioni distruttive.

Leggi anche: Gli agenti AI fuori controllo mostrano perché strumenti, rete e identità devono restare separati dal modello

UAC-0099 ha già trasferito target validati all’ecosistema Sandworm

L’attribuzione richiede una distinzione precisa. Le fonti disponibili descrivono UAC-0099 come Russia-aligned, ma non come sinonimo automatico di Sandworm. Un report ESET sulle attività APT ha osservato che il gruppo ha svolto operazioni di initial access e successivamente trasferito target validati a Sandworm, cluster legato al GRU e noto anche come APT44. Il rapporto operativo è rilevante perché suggerisce una divisione delle funzioni: UAC-0099 può occuparsi di accesso, phishing, validazione e compromissione preliminare, mentre infrastrutture differenti possono intervenire nelle fasi successive. ESET ha documentato nello stesso contesto l’uso continuativo di wiper da parte di Sandworm contro governo, energia, logistica e settore cerealicolo ucraino, dimostrando che le campagne distruttive non sono scomparse dopo la crescita delle attività di spionaggio. GuardBreaker va quindi valutato come un’evoluzione delle tecniche di evasione di un gruppo inserito in una filiera offensiva più ampia, non come una curiosità isolata legata all’intelligenza artificiale.

L’AI diventa un nuovo componente della superficie di attacco difensiva

La parte più significativa è che l’attaccante non deve compromettere direttamente il modello. Basta conoscere abbastanza bene il workflow difensivo per inserire nel campione qualcosa che interferisca con esso. Se un SOC invia automaticamente i primi kilobyte di uno script a un LLM, accetta senza isolamento semantico l’intero contenuto come materiale da analizzare e utilizza la risposta del modello come criterio per classificare il campione, una frase inserita dall’avversario può potenzialmente contaminare l’intero processo. È la stessa fragilità osservata in senso opposto quando Aur0ra ha sfruttato nuove sessioni di Cursor per aggirare ripetutamente i guardrail durante operazioni ransomware: i sistemi di safety lavorano sul contesto disponibile e possono essere manipolati quando manca una memoria operativa o una separazione netta tra istruzioni fidate e dati ostili.

GuardBreaker non è il primo attacco contro i sistemi di triage basati sugli LLM

La tecnica non nasce con UAC-0099. Nel giugno 2026 campagne contro l’ecosistema software open source hanno inserito prompt adversarial in pacchetti Python e JavaScript con riferimenti ad armi biologiche e nucleari, tentando di far entrare in refusal strumenti di sicurezza che affidavano il primo triage a un LLM. The Hacker News collega questi precedenti alle campagne Mini Shai-Hulud, Miasma e Hades e cita analisi di Endor Labs e Socket secondo cui un pipeline debole può subire refusal behavior, context pollution, prompt confusion o classificazione prematura prima che il modello arrivi alla parte malevola del file. UAC-0099 mostra però un passaggio ulteriore: una tecnica emersa nella compromissione della software supply chain viene riutilizzata da un attore allineato alla Russia all’interno di una campagna contro un obiettivo ucraino.

Non risultano dimostrate vulnerabilità universali di uno specifico modello

Le informazioni disponibili non permettono di sostenere che GuardBreaker funzioni contro tutti gli LLM, né ESET identifica pubblicamente un singolo modello o prodotto certamente aggirato durante l’attacco. Il punto va quindi mantenuto distinto dall’effetto teorico della tecnica. Il campione contiene un input chiaramente costruito per provocare un filtro di sicurezza e interferire con l’analisi; non è invece documentato che ogni soluzione commerciale abbia effettivamente interrotto il processo. Questo limite è importante anche per evitare una lettura eccessivamente estesa della scoperta. GuardBreaker dimostra che gli attaccanti stanno progettando malware pensando agli analizzatori AI, ma la superficie concreta dipende da come ogni pipeline separa system prompt, istruzioni dell’analista, contenuto non fidato e risposta del modello.

Continua con:

• Aur0ra usa Cursor durante intrusioni ransomware e mette alla prova i guardrail degli agenti AI
• Prompt injection via GitHub può trasformare un agente AI in un vettore per una reverse shell

La difesa deve trattare ogni campione come input ostile anche per il modello AI

GuardBreaker evidenzia un principio che diventerà sempre più importante nei SOC: un malware non è soltanto codice da eseguire o disassemblare, ma anche contenuto capace di attaccare gli strumenti che lo interpretano. Un sistema di analisi robusto non dovrebbe permettere che un refusal dell’LLM interrompa automaticamente il resto della pipeline. Il parsing statico, l’estrazione delle stringhe, la detonazione in sandbox, la telemetria comportamentale, gli IOC, le firme, le euristiche e il reverse engineering devono continuare indipendentemente dall’esito dell’analisi generativa. Anche il modello dovrebbe ricevere il codice esplicitamente come dato non fidato, con istruzioni che vietino di trattare commenti o stringhe interne come comandi e con controlli esterni capaci di rilevare output incompleti o rifiuti anomali. La necessità di combinare AI, analisi malware tradizionale e validazione umana diventa così una misura operativa, non soltanto una raccomandazione teorica. UAC-0099 non ha dovuto inventare un nuovo exploit di Windows per ottenere questo effetto: ha inserito una frase in un commento. È proprio questa semplicità a rendere GuardBreaker rilevante, perché dimostra che l’adozione dell’AI nella cybersecurity crea inevitabilmente una nuova superficie che gli avversari iniziano già a studiare e manipolare.