Ukrán szervezeteket támad a Gorbag, WinRAR-hibát is bevetett
Böngészőadatokat és dokumentumokat gyűjt egy oroszbarát csoport az ukrán szervezetek elleni támadásaiban. A Trend Micro korábban egy már javított WinRAR-hiba kihasználását is a Gorbaghoz kötötte.
Ukrán intézményekre összpontosítanak
Az ESET kutatója, Damien Schaeffer szerint a Gorbag legalább 2025 februárja óta aktív, és kizárólag ukrán célpontokra összpontosít. A csoport elsősorban rendvédelmi és igazságügyi szervezeteket, a frontvonal közelében működő helyi közigazgatási szerveket, valamint a védelmi szektort vette célba.
A tevékenység átfedést mutat azzal a támadássorozattal, amelyet a CERT-UA UAC-0226 néven követ. A Trend Micro SHADOW-EARTH-066 néven tartja számon a csoportot.
Javított WinRAR-hibát és Excel-mellékletet is használtak
A Trend Micro júniusban olyan támadásokat tulajdonított a csoportnak, amelyek a CVE-2025-8088 azonosítójú WinRAR-hibát használták ki a GIFTEDCROOK nevű adatlopó futtatásához. A sebezhetőséget azóta javították; a beszámoló nem közli a javított verzió számát.
A támadók hivatalos ügyekre, például bírságokra vagy adókra hivatkozó levelekkel is terjesztettek kártevőt. Egy esetben egy makrókat tartalmazó Excel-melléklet indította el a BeautyStealer nevű programot.
Böngészőadatokat és VPN-beállításokat gyűjt a kártevő
A BeautyStealer a Chrome, az Edge, az Opera és a Firefox adatait, OpenVPN-beállításokat, valamint meghatározott kiterjesztésű fájlokat is gyűjthet. Utóbbiak között Office-dokumentumok, archívumok, e-mailek és KeePass-adatbázisok is szerepelnek.
Az összegyűjtött adatokat tömörítve egy támadók által kezelt Telegram-csevegésbe vagy vezérlőszerverre küldi. A feladat végén eltávolítja magát az érintett gépről.
Az MI-asszisztenseket is megpróbálták félrevezetni
A korábbi támadásokban használt Prime ReverseShell egyik változatába olyan megjegyzést írtak, amely arra próbálta rávenni az MI-asszisztenseket, hogy ne elemezzék a fájlt. A szöveg ártalmatlan prímszámgenerátornak nevezte a programot.
Az ESET szerint a kísérlet nem működött: a tesztelt két MI-asszisztens helyesen azonosította a programot, amely parancsokat hajthat végre a kompromittált rendszeren, és visszaküldi az eredményeket.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum