Un attore della minaccia noto come Gorbag ha preso di mira organizzazioni ucraine con attacchi di phishing e malware progettati per sottrarre dati sensibili, secondo Damien Schaeffer, ricercatore di ESET. Il gruppo è attivo almeno da febbraio 2025 e si concentra sugli organismi di polizia e giustizia, sulle amministrazioni locali vicine alla linea del fronte e sul settore della difesa.

Le attività di Gorbag si sovrappongono alle operazioni monitorate dal Computer Emergency Response Team ucraino con la sigla UAC-0226 e da Trend Micro con il nome SHADOW-EARTH-066. In precedenza, Trend Micro aveva collegato il gruppo ad attacchi che sfruttavano la vulnerabilità di WinRAR CVE-2025-8088, ormai corretta. La falla è stata usata per avviare una catena di DLL sideloading che eseguiva il programma per il furto di informazioni GIFTEDCROOK.

GIFTEDCROOK può raccogliere dati del browser, tra cui cookie, cronologia di navigazione e informazioni di autenticazione da Chrome, Edge e Firefox. Anche il malware di Gorbag è progettato per raccogliere configurazioni VPN e documenti selezionati, il che potrebbe consentire al gruppo di trasmettere le informazioni sottratte ad altri attori della minaccia, ha dichiarato ESET. I ricercatori hanno osservato che questo possibile ruolo di broker di accesso iniziale non è stato confermato.

Gli attacchi iniziano in genere con email di spear-phishing contenenti allegati dannosi e richiami a temi governativi, come avvisi relativi a multe o tasse. In un metodo documentato, un file Excel con macro esegue un payload VBA che decodifica e avvia BeautyStealer.

BeautyStealer può sottrarre informazioni da Chrome, Edge, Opera e Firefox, oltre a configurazioni di OpenVPN e file come documenti di Office, archivi, email, database KeePass e impostazioni di desktop remoto. Comprimi i dati raccolti e li invia a una chat Telegram controllata dall’autore dell’attacco o a un server di comando e controllo personalizzato. Una volta terminata la raccolta, il malware si rimuove dal dispositivo compromesso.

Le prime ondate di attacchi del 2025 hanno utilizzato anche Prime ReverseShell, uno strumento derivato da PSSW100AVB che esegue comandi sui sistemi compromessi e restituisce i risultati a un server di comando e controllo. CERT-UA ha segnalato l’uso dello strumento da parte di UAC-0226 nell’aprile 2025. Una versione includeva un commento rivolto ai sistemi di IA che sosteneva falsamente che lo script fosse innocuo; i test citati da ESET hanno rilevato che due assistenti IA lo hanno comunque identificato come una reverse shell.

Secondo ESET, le operazioni di Gorbag dimostrano che per raccogliere informazioni mirate non è necessariamente necessario ricorrere a malware sofisticati: semplici programmi per il furto di informazioni e una reverse shell possono sostenere attacchi contro organizzazioni ucraine considerate di interesse bellico per la Russia.

Fonti: The Hacker News.