Un acteur malveillant connu sous le nom de Gorbag a ciblé des organisations ukrainiennes au moyen d’attaques par hameçonnage et de logiciels malveillants conçus pour voler des données sensibles, selon Damien Schaeffer, chercheur chez ESET. Le groupe est actif depuis au moins février 2025 et s’intéresse principalement aux forces de l’ordre et aux organismes judiciaires, aux administrations locales proches de la ligne de front et au secteur de la défense.

Les activités de Gorbag recoupent des opérations suivies par l’Équipe ukrainienne d’intervention en cas d’urgence informatique sous le nom UAC-0226 et par Trend Micro sous celui de SHADOW-EARTH-066. Trend Micro avait précédemment associé le groupe à des attaques exploitant la vulnérabilité CVE-2025-8088 de WinRAR, désormais corrigée. La faille a servi à lancer une chaîne de chargement latéral de DLL qui exécutait le voleur d’informations GIFTEDCROOK.

GIFTEDCROOK peut collecter des données de navigateur, notamment les cookies, l’historique de navigation et les informations d’authentification de Chrome, Edge et Firefox. Le logiciel malveillant de Gorbag est également conçu pour récupérer des configurations VPN et certains documents, ce qui pourrait permettre au groupe de transmettre les informations volées à d’autres acteurs malveillants, indique ESET. Les chercheurs ont précisé que ce rôle potentiel de courtier en accès initial n’a pas été confirmé.

Les attaques commencent généralement par des courriels d’hameçonnage ciblé contenant des pièces jointes malveillantes et des leurres liés aux pouvoirs publics, par exemple des avis concernant des amendes ou des impôts. Dans l’une des méthodes documentées, un fichier Excel contenant des macros exécute une charge utile VBA qui décode et lance BeautyStealer.

BeautyStealer peut récupérer des informations sur Chrome, Edge, Opera et Firefox, ainsi que des configurations OpenVPN et des fichiers tels que des documents Office, des archives, des courriels, des bases de données KeePass et des paramètres de bureau à distance. Il compresse les données collectées et les envoie vers une conversation Telegram contrôlée par l’attaquant ou vers un serveur de commande et de contrôle personnalisé. Une fois la collecte terminée, le logiciel malveillant s’efface de l’appareil compromis.

Les vagues d’attaques du début de 2025 ont également utilisé Prime ReverseShell, un outil dérivé de PSSW100AVB qui exécute des commandes sur les systèmes compromis et en renvoie les résultats à un serveur de commande et de contrôle. CERT-UA a signalé l’utilisation de cet outil par UAC-0226 en avril 2025. Une version contenait un commentaire destiné aux systèmes d’IA, affirmant à tort que le script était inoffensif ; selon les tests cités par ESET, deux assistants d’IA l’ont tout de même identifié comme un shell inversé.

ESET a déclaré que les opérations de Gorbag montrent qu’une collecte ciblée de renseignements ne nécessite pas forcément de logiciels malveillants sophistiqués : de simples voleurs d’informations et un shell inversé peuvent servir à mener des attaques contre des organisations ukrainiennes présentant un intérêt pour la Russie en temps de guerre.

Sources: The Hacker News.