Grupa Gorbag wykorzystuje lukę WinRAR do kradzieży danych z ukraińskich instytucji

Wprowadzenie do problemu / definicja

Rosyjsko-powiązana grupa Gorbag prowadzi kampanie cyberszpiegowskie wymierzone w organizacje działające na terenie Ukrainy. Najnowsze obserwacje wskazują, że operatorzy łączą ukierunkowany spear phishing z wykorzystaniem podatności w WinRAR oraz lekkiego malware typu infostealer, którego głównym zadaniem jest szybka kradzież danych uwierzytelniających, dokumentów i konfiguracji dostępowych.

To podejście pokazuje, że skuteczna operacja szpiegowska nie musi opierać się na rozbudowanym zapleczu technicznym. W wielu przypadkach wystarczy wiarygodna przynęta, dobrze dobrana luka oraz narzędzia pozwalające błyskawicznie zebrać i wyprowadzić cenne informacje z zaatakowanego środowiska.

W skrócie

Grupa Gorbag działa co najmniej od lutego 2025 roku i koncentruje się niemal wyłącznie na celach w Ukrainie.
Ataki są wymierzone przede wszystkim w administrację publiczną, wymiar sprawiedliwości, organy ścigania i sektor obronny.
W kampaniach wykorzystywana była luka CVE-2025-8088 w WinRAR.
Do głównych narzędzi przypisywanych grupie należą GIFTEDCROOK, BeautyStealer oraz Prime ReverseShell.
Malware po wykonaniu zadania może usuwać się z hosta, ograniczając ślady aktywności.

Kontekst / historia

Według dostępnych ustaleń aktywność Gorbag rozpoczęła się najpóźniej w pierwszym kwartale 2025 roku. Dobór ofiar wskazuje na ścisłe powiązanie operacji z priorytetami wywiadowczymi związanymi z wojną w Ukrainie. Na celowniku znalazły się zwłaszcza podmioty funkcjonujące w pobliżu linii frontu oraz instytucje posiadające informacje istotne z perspektywy administracyjnej, prawnej i wojskowej.

Badacze zauważyli częściowe podobieństwa tej aktywności do klastrów śledzonych jako UAC-0226 oraz SHADOW-EARTH-066. We wcześniejszych etapach kampanii operatorzy używali złośliwych arkuszy Excel z makrami VBA jako pierwszego etapu infekcji. Z czasem doszło jednak do zmiany taktyki i przejścia na nadużywanie podatności w WinRAR, co wpisuje się w szerszy trend wykorzystywania archiwizerów i formatów kontenerowych do obchodzenia mechanizmów ochronnych.

Analiza techniczna

Łańcuch ataku stosowany przez Gorbag jest stosunkowo prosty, ale dobrze dopasowany do realiów atakowanych organizacji. Kampania rozpoczyna się od wiadomości spear phishingowych z tematami odnoszącymi się do spraw urzędowych, podatków, kar administracyjnych lub innych kwestii formalnych. Takie przynęty zwiększają prawdopodobieństwo, że odbiorca otworzy załącznik i uruchomi złośliwą zawartość.

W starszych wariantach infekcji wykorzystywano pliki XLSM z makrami VBA. Po uruchomieniu makra dekodowały i wykonywały właściwy ładunek, którym był stealer zbierający dane z przeglądarek oraz systemu plików. W nowszych kampaniach grupa zaczęła wykorzystywać lukę CVE-2025-8088 w WinRAR, umożliwiającą przejście do kolejnych etapów infekcji, w tym do uruchamiania komponentów DLL ładowanych przez zaufane procesy.

Jednym z kluczowych narzędzi był GIFTEDCROOK, napisany w C/C++. Malware zaprojektowano do pozyskiwania informacji z przeglądarek takich jak Google Chrome, Microsoft Edge i Mozilla Firefox. Zakres zbieranych danych obejmował między innymi cookies, historię przeglądania oraz zapisane dane uwierzytelniające.

W kolejnych fazach operatorzy przeszli na BeautyStealer, który rozszerza możliwości wcześniejszego zestawu narzędzi. Oprócz artefaktów z przeglądarek malware zbiera również konfiguracje OpenVPN, pliki o określonych rozszerzeniach, archiwa, wiadomości e-mail, bazy KeePass, konfiguracje RDP oraz inne materiały mogące mieć znaczenie operacyjne lub wywiadowcze. Zebrane dane są pakowane do archiwum i przesyłane do infrastruktury kontrolowanej przez atakujących.

We wczesnych falach kampanii zaobserwowano też Prime ReverseShell, pochodną skryptów PowerShell służącą do zdalnego wykonywania poleceń i odsyłania wyników do serwera dowodzenia. Ciekawym elementem było umieszczenie w jednym z wariantów komentarza próbującego sugerować, że skrypt nie ma złośliwego charakteru. To pokazuje, że nawet mniej złożone grupy coraz częściej eksperymentują z technikami utrudniania analizy i klasyfikacji zagrożeń.

Charakterystyczną cechą operacji Gorbag jest model działania nastawiony na szybkie wejście, eksfiltrację i zniknięcie. Po zakończeniu zadania malware może usuwać się z hosta, co ogranicza liczbę artefaktów i skraca okno detekcji dla zespołów bezpieczeństwa.

Konsekwencje / ryzyko

Ryzyko związane z tą kampanią jest wysokie mimo relatywnie prostego zestawu narzędzi. Kradzież cookies, haseł i danych sesyjnych może umożliwić przejęcie dostępu do poczty elektronicznej, systemów obiegu dokumentów, paneli administracyjnych czy komunikatorów bez konieczności przełamywania dodatkowych barier ochronnych.

Jeszcze groźniejsze jest pozyskanie konfiguracji VPN i RDP, ponieważ może ono ułatwić późniejsze wejście do sieci organizacji lub przekazanie dostępu innym operatorom. W praktyce oznacza to ryzyko dalszego phishingu, ruchu bocznego, podszywania się pod legalnych użytkowników, a nawet selektywnego niszczenia danych w kolejnych etapach operacji.

Szczególnie niebezpieczne jest ukierunkowanie kampanii na sektor publiczny, sądownictwo, organy ścigania i obszary związane z obronnością. Utrata dokumentów operacyjnych, informacji o pracownikach czy materiałów administracyjnych może prowadzić do poważnych strat wywiadowczych oraz kompromitacji procesów wewnętrznych.

Model działania Gorbag sugeruje również, że grupa może pełnić rolę brokera wstępnego dostępu. W takim scenariuszu sama kradzież danych i konfiguracji stanowi pierwszy etap większego łańcucha intruzji, a zdobyte informacje mogą zostać wykorzystane przez inne podmioty do eskalacji uprawnień, utrzymania dostępu lub działań destrukcyjnych.

Rekomendacje

Organizacje zagrożone podobnymi kampaniami powinny w pierwszej kolejności zweryfikować, czy na stacjach roboczych nie są używane podatne wersje WinRAR. Równie ważne jest ograniczenie uruchamiania makr w dokumentach dostarczanych pocztą elektroniczną oraz wdrożenie polityk blokujących wykonywanie niepodpisanych lub nietypowych bibliotek DLL.

Z perspektywy detekcji warto monitorować następujące sygnały:

nietypowe uruchomienia WinRAR oraz procesów potomnych,
użycie PowerShell z parametrami wskazującymi na dekodowanie lub pobieranie ładunków,
dostęp do magazynów danych przeglądarek,
tworzenie archiwów w katalogach tymczasowych,
połączenia wychodzące do niestandardowych punktów C2,
nagłe usuwanie artefaktów krótko po uruchomieniu procesu.

W obszarze ochrony tożsamości kluczowe znaczenie ma wdrożenie MFA odpornego na przejęcie sesji, ograniczenie przechowywania haseł w przeglądarkach oraz regularna rotacja poświadczeń administracyjnych. Dodatkowym priorytetem powinno być monitorowanie plików konfiguracyjnych VPN, baz haseł i dokumentów wrażliwych, ponieważ stanowią one jeden z głównych celów stealerów.

Nie można też pomijać czynnika ludzkiego. Ze względu na urzędowy charakter przynęt szkolenia z zakresu bezpieczeństwa powinny obejmować scenariusze związane z korespondencją administracyjną, podatkową i sądową. Skuteczność obrony zwiększą również sandboxowanie załączników, zaawansowane filtrowanie poczty oraz segmentacja sieci ograniczająca skutki kompromitacji pojedynczego hosta.

Podsumowanie

Przypadek Gorbag potwierdza, że skuteczne operacje cyberszpiegowskie nie wymagają zawsze wysoce zaawansowanego malware. Połączenie precyzyjnego doboru ofiar, wiarygodnego spear phishingu, wykorzystania znanej luki oraz lekkich stealerów może wystarczyć do osiągnięcia celów o dużej wartości wywiadowczej.

Dla zespołów bezpieczeństwa to wyraźny sygnał, że równie dużą uwagę jak najbardziej zaawansowanym APT trzeba poświęcać prostszym kampaniom realizowanym z dyscypliną operacyjną. Szybka eksfiltracja danych, ograniczona liczba śladów i samousuwanie malware sprawiają, że takie działania mogą być wyjątkowo trudne do wykrycia i równie dotkliwe w skutkach.