Gorbag: hírszerzési adatok Ukrajnáról
Az ESET kutatása egy korábban nem dokumentált, Gorbag nevű, orosz érdekekhez igazodó kiberkémkedési csoportot mutat be. A támadók legalább 2025 februárja óta ukrán szervezeteket céloznak, különösen az orosz–ukrán frontvonal közelében.
A célpontok mintegy negyedét rendvédelmi és igazságügyi intézmények, további negyedét helyi önkormányzatok alkotják. A fennmaradó célpontok között védelmi szervezetek és egy, a külföldi katonai segélyszállításban fontos közlekedési csomópont is szerepel.
A támadások célzott adathalász e-mailekkel indulnak, amelyek adóügyi vagy közigazgatási dokumentumnak álcázott mellékleteket tartalmaznak. A csoport 2026 elejétől a CVE-2025-8088 jelű WinRAR-sérülékenységet is kihasználja, a manipulált RAR-archívum megnyitásakor egy megtévesztő PDF jelenik meg, miközben a háttérben egy Windows-parancsikon, titkosított kártevő és PowerShell-betöltő települ.
A Gorbag két fő eszközt alkalmaz. A BeautyStealer böngészőjelszavakat, munkamenet-sütiket, OpenVPN-konfigurációkat és dokumentumokat gyűjt, míg a Prime ReverseShell távoli parancsvégrehajtást biztosít.
A csoport módszere eltér a hosszú távú hálózati jelenlétre építő kémkedéstől, gyorsan összegyűjti az értékes adatokat, majd a kártevő megpróbálja eltávolítani önmagát. Az ESET szerint elképzelhető, hogy a megszerzett hozzáféréseket más, orosz érdekeket szolgáló támadóknak adják tovább.
A kutatók egy különös megtévesztési kísérletet is azonosítottak, a Prime ReverseShell egyik változata olyan megjegyzést tartalmazott, amely az AI-alapú elemzőrendszereket próbálta félrevezetni. Az ESET tesztjeiben azonban a két vizsgált AI-asszisztens helyesen felismerte a kártevő működését.
