Un actor de amenazas conocido como Gorbag ha atacado organizaciones ucranianas con campañas de phishing y malware diseñado para robar datos confidenciales, según Damien Schaeffer, investigador de ESET. El grupo está activo desde al menos febrero de 2025 y se centra en organismos policiales y judiciales, administraciones locales cercanas al frente y el sector de defensa.
La actividad de Gorbag coincide con operaciones que el Equipo de Respuesta ante Emergencias Informáticas de Ucrania sigue como UAC-0226 y Trend Micro como SHADOW-EARTH-066. Trend Micro había vinculado anteriormente al grupo con ataques que explotaban la vulnerabilidad de WinRAR CVE-2025-8088, ya corregida. La falla se utilizó para iniciar una cadena de carga lateral de DLL que ejecutaba el ladrón de información GIFTEDCROOK.
GIFTEDCROOK puede recopilar datos de navegadores, incluidas cookies, el historial de navegación e información de autenticación de Chrome, Edge y Firefox. El malware de Gorbag también está diseñado para obtener configuraciones de VPN y documentos seleccionados, lo que podría permitir al grupo entregar la información robada a otros actores de amenazas, afirmó ESET. Los investigadores señalaron que no se ha confirmado esta posible función como intermediario de acceso inicial.
Los ataques suelen comenzar con correos electrónicos de phishing selectivo que incluyen archivos adjuntos maliciosos y señuelos relacionados con el gobierno, como avisos sobre multas o impuestos. En uno de los métodos documentados, un archivo de Excel con macros ejecuta una carga útil de VBA que decodifica y lanza BeautyStealer.
BeautyStealer puede recopilar información de Chrome, Edge, Opera y Firefox, además de configuraciones de OpenVPN y archivos como documentos de Office, archivos comprimidos, correos electrónicos, bases de datos de KeePass y configuraciones de escritorio remoto. Comprime los datos recopilados y los envía a un chat de Telegram controlado por el atacante o a un servidor personalizado de comando y control. Una vez que termina de recopilar información, el malware se elimina del dispositivo comprometido.
Las primeras oleadas de ataques de 2025 también utilizaron Prime ReverseShell, una herramienta derivada de PSSW100AVB que ejecuta comandos en sistemas comprometidos y devuelve los resultados a un servidor de comando y control. CERT-UA informó en abril de 2025 sobre el uso de esta herramienta por parte de UAC-0226. Una versión incluía un comentario dirigido a sistemas de IA que afirmaba falsamente que el script era inofensivo; las pruebas citadas por ESET determinaron que dos asistentes de IA aun así lo identificaron como una shell inversa.
ESET afirmó que las operaciones de Gorbag demuestran que la recopilación selectiva de inteligencia no necesariamente requiere malware sofisticado: unos ladrones de información sencillos y una shell inversa pueden servir para llevar a cabo ataques contra organizaciones ucranianas que Rusia considera de interés durante la guerra.
Fuentes: The Hacker News.