محققان امنیتی از فعالیت یک گروه جاسوسی سایبری مرتبط با روسیه به نام Gorbag پرده برداشتند که هدف اصلی آن سرقت داده‌ها از نهادهای اجرای قانون، بخش‌های دفاعی و دولت‌های محلی در اوکراین است. این گروه با تمرکز بر جمع‌آوری سریع اطلاعات، نقش یک واسطه برای دسترسی اولیه (Initial Access Broker) را ایفا می‌کند.
متدولوژی حملات و تکنیک‌های نفوذ
این عامل تهدید از روش‌های Spear-phishing برای ارسال پیوست‌های مخرب استفاده می‌کند. در مراحل اولیه، مهاجمان از فایل‌های اکسل حاوی ماکرو (Macro-enabled Excel) برای اجرای اسکریپت‌های مخرب استفاده می‌کردند. با این حال، تاکتیک‌های آن‌ها تغییر کرده و اکنون از آرشیوهای WinRAR آلوده بهره می‌برند.
- Exploit: استفاده از آسیب‌پذیری Path Traversal در WinRAR (با شناسه CVE-2025-8088) که امکان اجرای کد از راه دور (RCE) را فراهم می‌کند.
- Payload: استفاده از بدافزار BeautyStealer که با زبان C++ نوشته شده است.
- Persistence: ایجاد فایل‌های Shortcut ویندوز برای تضمین اجرای مجدد لودر (Loader) در هنگام راه‌اندازی سیستم.
هدف و خروجی حملات
برخلاف حملات پیچیده که هدفشان ماندگاری طولانی‌مدت است، Gorbag بر جمع‌آوری سریع و گسترده اطلاعات تمرکز دارد. این بدافزار (Infostealer) موارد زیر را سرقت می‌کند:
- اعتبارنامه‌ها و رمزهای عبور ذخیره شده در مرورگرهایی مانند Chrome، Edge، Opera و Firefox.
- تنظیمات OpenVPN از دایرکتوری‌های کاربر و سیستم.
- فایل‌های حساس از Microsoft Office، ایمیل‌ها و آرشیوهای فشرده.
تحلیل‌ها نشان می‌دهد که Gorbag احتمالاً اطلاعات سرقت شده را برای سایر عامل‌های تهدید جهت انجام عملیات‌های پیچیده‌تر در مراحل بعدی نفوذ، می‌فروشد.
