Ein als Gorbag bekannter Bedrohungsakteur hat mit Phishing-Angriffen und Malware, die sensible Daten stehlen soll, ukrainische Organisationen ins Visier genommen, so der ESET-Forscher Damien Schaeffer. Die Gruppe ist mindestens seit Februar 2025 aktiv und konzentriert sich auf Strafverfolgungs- und Justizbehörden, lokale Verwaltungen in Frontnähe sowie den Verteidigungssektor.

Gorbags Aktivitäten überschneiden sich mit Operationen, die das Computer Emergency Response Team der Ukraine als UAC-0226 und Trend Micro als SHADOW-EARTH-066 verfolgt. Trend Micro brachte die Gruppe zuvor mit Angriffen in Verbindung, bei denen die inzwischen gepatchte WinRAR-Schwachstelle CVE-2025-8088 ausgenutzt wurde. Die Schwachstelle wurde genutzt, um eine DLL-Sideloading-Kette zu starten, die den Infostealer GIFTEDCROOK ausführte.

GIFTEDCROOK kann Browserdaten sammeln, darunter Cookies, den Browserverlauf und Authentifizierungsinformationen aus Chrome, Edge und Firefox. Gorbags Malware ist außerdem darauf ausgelegt, VPN-Konfigurationen und ausgewählte Dokumente zu erfassen. Dadurch könnte die Gruppe gestohlene Informationen an andere Bedrohungsakteure weitergeben, so ESET. Die Forscher merkten an, dass diese mögliche Rolle als Broker für Erstzugriffe nicht bestätigt wurde.

Die Angriffe beginnen in der Regel mit Spear-Phishing-E-Mails, die schädliche Anhänge und Köder mit Bezug zu Behörden enthalten, etwa Mitteilungen über Geldstrafen oder Steuern. Bei einer dokumentierten Methode führt eine makrofähige Excel-Datei ein VBA-Payload aus, das BeautyStealer decodiert und startet.

BeautyStealer kann Informationen aus Chrome, Edge, Opera und Firefox sowie OpenVPN-Konfigurationen und Dateien wie Office-Dokumente, Archive, E-Mails, KeePass-Datenbanken und Remotedesktop-Einstellungen abgreifen. Die gesammelten Daten werden komprimiert und an einen von den Angreifern kontrollierten Telegram-Chat oder einen eigens eingerichteten Command-and-Control-Server gesendet. Nach Abschluss der Datensammlung entfernt sich die Malware vom kompromittierten Gerät.

Bei Angriffswellen Anfang 2025 kam auch Prime ReverseShell zum Einsatz, ein von PSSW100AVB abgeleitetes Tool, das Befehle auf kompromittierten Systemen ausführt und die Ergebnisse an einen Command-and-Control-Server zurücksendet. CERT-UA meldete den Einsatz des Tools durch UAC-0226 im April 2025. Eine Version enthielt einen Kommentar für KI-Systeme, in dem fälschlicherweise behauptet wurde, das Skript sei harmlos. Laut den von ESET angeführten Tests erkannten dennoch zwei KI-Assistenten, dass es sich um eine Reverse Shell handelte.

ESET zufolge zeigen Gorbags Operationen, dass gezielte Aufklärung nicht unbedingt ausgefeilte Malware erfordert: Einfache Infostealer und eine Reverse Shell können Angriffe auf ukrainische Organisationen ermöglichen, die für Russland im Zusammenhang mit dem Krieg von Interesse sind.

Quellen: The Hacker News.