گروه هکری Gorbag که با روسیه همسو است، با بهره‌برداری از یک آسیب‌پذیری در نرم‌افزار WinRAR، در حال سرقت اعتبارنامه‌های مرورگر (Browser Credentials)، تنظیمات VPN و اسناد حساس از سازمان‌های اوکراینی است. این کمپین که از فوریه ۲۰۲۵ فعال شده، نهادهای دولتی، سازمان‌های انتظامی، نهادهای قضایی، مدیریت‌های محلی در مناطق نزدیک به خط مقدم و سازمان‌های دفاعی را هدف قرار داده است.
تغییر تاکتیک از ماکروها به اکسپلویت WinRAR
در ابتدا، این گروه از حملات فیشینگ (Phishing) با استفاده از پیوست‌های اکسل (Excel) حاوی ماکروهای مخرب استفاده می‌کرد. با این حال، در سال ۲۰۲۵، Gorbag تاکتیک خود را به سمت استفاده از آرشیوهای مخرب WinRAR تغییر داد تا از آسیب‌پذیری CVE-2025-8088 بهره‌برداری کند.
این آسیب‌پذیری از نوع Path Traversal است که به مهاجم اجازه می‌دهد محتوای آرشیو را به خارج از پوشه تعیین‌شده برای استخراج (Extraction) هدایت کند. مهاجمان با سوءاستفاده از ویژگی Alternate Data Streams در ویندوز، فایل‌های مخرب را در نقاط حساس سیستم قرار می‌دهند. در این زنجیره حمله، پس از استخراج آرشیو، یک فایل PDF نمایشی (Decoy) به کاربر نمایش داده می‌شود، در حالی که یک میان‌بر (Shortcut) در پوشه Startup ویندوز برای اجرای پی‌لود (Payload) در بوت‌های بعدی سیستم قرار می‌گیرد.
تحلیل بدافزار BeautyStealer
محققان ESET بدافزار اصلی این گروه را BeautyStealer نامیده‌اند که یک بدافزار سرقت اطلاعات (Information Stealer) نوشته شده با زبان C++ است. وظایف اصلی این بدافزار عبارتند از:
- سرقت رمزهای ذخیره شده، کوکی‌ها و وضعیت مرورگرها (Chrome, Edge, Opera, Firefox).
- استخراج تنظیمات OpenVPN و پایگاه‌های داده KeePass.
- جستجو و سرقت اسناد حساس از پوشه‌های Desktop، Documents و Downloads، رسانه‌های قابل حمل و درایوهای شبکه.
- جمع‌آوری فایل‌های کلید امضای الکترونیک اوکراین، فایل‌های Java KeyStore، تنظیمات Remote Desktop و کانتینرهای گواهی (Certificate containers).
این بدافزار پس از جمع‌آوری داده‌ها، آن‌ها را فشرده کرده و از طریق API تلگرام یا یک سرور اختصاصی با استفاده از پروتکل FastAPI ارسال می‌کند. نسخه‌های جدیدتر این بدافزار از رمزنگاری RC4 استفاده کرده و برای حذف ردپا، از فراخوانی مستقیم Windows API برای خود-حذفی (Self-deletion) بهره می‌برند.
اقدامات پیشگیرانه
برای مقابله با این تهدید، سازمان‌ها باید بلافاصله نرم‌افزار WinRAR خود را به نسخه 7.13 یا بالاتر به‌روزرسانی کنند. همچنین، در صورت مشاهده نشانه‌های احتمالی نفوذ، بررسی اعتبارنامه‌ها و فایل‌های حساس باید در اولویت قرار گیرد.
