Um agente de ameaças conhecido como Gorbag tem como alvo organizações ucranianas com ataques de phishing e malware concebido para roubar dados confidenciais, segundo o pesquisador da ESET Damien Schaeffer. O grupo está ativo desde pelo menos fevereiro de 2025, concentrando-se em órgãos de aplicação da lei e de justiça, administrações locais perto da linha da frente e no setor da defesa.
A atividade do Gorbag se sobrepõe a operações acompanhadas pela Equipe de Resposta a Emergências Informáticas da Ucrânia como UAC-0226 e pela Trend Micro como SHADOW-EARTH-066. Anteriormente, a Trend Micro associou o grupo a ataques que exploravam a vulnerabilidade CVE-2025-8088 do WinRAR, já corrigida. A falha foi usada para iniciar uma cadeia de carregamento lateral de DLL que executava o ladrão de informações GIFTEDCROOK.
O GIFTEDCROOK pode coletar dados de navegadores, incluindo cookies, histórico de navegação e informações de autenticação do Chrome, Edge e Firefox. O malware do Gorbag também foi concebido para coletar configurações de VPN e documentos selecionados, o que poderia permitir ao grupo repassar informações roubadas a outros agentes de ameaças, afirmou a ESET. Os pesquisadores observaram que esse possível papel como intermediário de acesso inicial não foi confirmado.
Os ataques normalmente começam com e-mails de spear-phishing que contêm anexos maliciosos e iscas com temas governamentais, como notificações sobre multas ou impostos. Em um método documentado, um arquivo do Excel com macros executa um payload VBA que decodifica e inicia o BeautyStealer.
O BeautyStealer pode coletar informações do Chrome, Edge, Opera e Firefox, bem como configurações do OpenVPN e arquivos como documentos do Office, arquivos compactados, e-mails, bancos de dados do KeePass e configurações de área de trabalho remota. Ele compacta os dados coletados e os envia para um chat do Telegram controlado pelo atacante ou para um servidor personalizado de comando e controle. Depois de concluir a coleta, o malware se remove do dispositivo comprometido.
As primeiras ondas de ataques de 2025 também usaram o Prime ReverseShell, uma ferramenta derivada do PSSW100AVB que executa comandos em sistemas comprometidos e envia os resultados de volta para um servidor de comando e controle. A CERT-UA relatou o uso da ferramenta pelo UAC-0226 em abril de 2025. Uma versão incluía um comentário dirigido a sistemas de IA, alegando falsamente que o script era inofensivo; testes citados pela ESET constataram que dois assistentes de IA ainda o identificaram como um shell reverso.
A ESET afirmou que as operações do Gorbag mostram que a coleta direcionada de informações não exige necessariamente malware sofisticado: ladrões de informações simples e um shell reverso podem sustentar ataques contra organizações ucranianas consideradas de interesse para a Rússia em tempo de guerra.
Fontes: The Hacker News.