گروه جاسوسی سایبری وابسته به روسیه با نام Gorbag، از فوریه ۲۰۲۵ نهادهای قضایی، نیروهای انتظامی، دولت‌های محلی و سازمان‌های دفاعی اوکراین را هدف قرار داده است. این گروه با استفاده از یک بدافزار سرقت اطلاعات (Infostealer) سفارشی، اقدام به جمع‌آوری اطلاعات حساس از جمله اعتبارنامه‌ها (Credentials)، تنظیمات VPN و اسناد مهم می‌کند.
تحقیقات نشان می‌دهد که اهداف این گروه شامل نهادهای قضایی، مدیریت‌های محلی در نزدیکی خط مقدم و همچنین مراکز حمل‌ونقل حیاتی برای کمک‌های نظامی است. این انتخاب‌ها با اولویت‌های اطلاعاتی روسیه در جریان جنگ، از جمله نظارت بر پیگرد پرونده‌های جنایات جنگی و جریان تدارکات نظامی، همخوانی دارد.
روش‌های حمله این گروه شامل حملات فیشینگ (Spearphishing) از طریق ایمیل‌های حاوی فایل‌های اکسل با قابلیت Macro است. در مراحل بعدی، این گروه از آرشیوهای RAR برای بهره‌برداری از آسیب‌پذیری CVE-2025-8088 در نرم‌افزار WinRAR استفاده کرده است. این اکسپلویت (Exploit) به مهاجم اجازه می‌دهد تا با استفاده از یک نقص در مسیردهی (Path Traversal)، بدافزار خود را در سیستم قربانی اجرا کند.
بدافزار اصلی این عملیات، BeautyStealer نام دارد که قادر است اطلاعات مرورگرها (مانند Chrome، Edge، Opera و Firefox)، کوکی‌ها، رمزهای عبور ذخیره شده، تنظیمات OpenVPN و حتی کلیدهای امضای الکترونیکی را سرقت کند. این بدافزار برای ماندگاری در سیستم، از پوشه Startup ویندوز و مسیر ProgramData استفاده می‌کند تا با هر بار راه‌اندازی سیستم، مجدداً اجرا شود.
تحلیل‌ها حاکی از آن است که Gorbag ممکن است به عنوان یک واسطه دسترسی اولیه (Initial Access Broker) عمل کند؛ به این معنا که اطلاعات سرقت شده را برای سایر عامل‌های تهدید (Threat Actors) ارسال می‌کند. همچنین، این گروه تلاش کرده است با قرار دادن کامنت‌های خاص در کدهای PowerShell، تحلیل‌های مبتنی بر هوش مصنوعی (AI) را گمراه کند.
