Изследователи на ESET идентифицират недостатъчно проучена група, свързана с Русия, която от началото на 2025 г. провежда целенасочени операции срещу украински държавни, правоохранителни, отбранителни и местни административни структури. Gorbag използва сравнително прости инструменти за кражба на идентификационни данни и документи, като вероятно предоставя събраната информация на други заплашителни актьори.
Групата Gorbag извършва кибершпионски операции срещу украински организации поне от февруари 2025 г., сочи нов анализ на ESET. Дейността ѝ е насочена към структури, които имат значение за военните и разузнавателните интереси на Русия: правоохранителни и съдебни органи, местни администрации в близост до фронтовата линия, отбранителни организации и важен транспортен център за чуждестранна военна помощ.
Според изследователите Gorbag може да действа като брокер на първоначален достъп (Initial Access Broker, IAB) – група, която прониква в организации, събира идентификационни данни и друга информация, след което ги предоставя на други участници за последващи операции.
Тази оценка остава хипотеза. ESET не е наблюдавала цялата предполагаема последваща верига на атака, но смята, че профилът на дейността и събраните данни са съвместими с подобен модел.
Целенасочено събиране на информация от украински институции
Около една четвърт от идентифицираните цели на Gorbag са украински държавни организации в секторите на правоприлагането и правосъдието.
ESET отбелязва, че подобен интерес не е нов за свързани с Русия заплашителни актьори. През 2023 г. украинската служба SSSCIP съобщи за опити на групи, свързани с руското военно разузнаване (ГРУ) и Федералната служба за сигурност (ФСБ), да компрометират правоохранителни органи в страната.
Според ESET мотивите вероятно продължават да включват наблюдение и потенциално възпрепятстване на украинските усилия за документиране и преследване на военни престъпления, извършени от руски сили. Друг възможен интерес е достъпът до разследвания, насочени към идентифициране на руски активи и сътрудници на украинска територия.
Украинската съдебна система продължава да работи по подобни дела, като вече са издадени няколкостотин обвинителни акта. ESET посочва, че началото на процеса срещу пленен руски военнослужещ през февруари 2025 г. може да е един от факторите за засиления интерес. Според данните на компанията първата активност на Gorbag срещу украинска правосъдна организация е регистрирана в края на март 2025 г.
Местните администрации като разузнавателна цел
Още около една четвърт от целите на групата са местни административни структури, предимно общински съвети в райони близо до фронтовата линия.
ESET посочва няколко възможни обяснения за този избор. Едно от тях е оценката на щетите от бойни действия (Battle Damage Assessment, BDA). Украинските общини често събират и предоставят информация за разрушенията, причинени от руски въздушни удари.
Докато данните за човешките жертви обикновено стават публични, сведенията за щети по критична инфраструктура и приблизителното време за възстановяване често остават непублични. Почти всички градове, чиито администрации са били атакувани от Gorbag, са били обект на руски въздушни удари през периода на кампанията.
Това поражда предположение, че събраната информация може да се използва за оценка на ефективността на руските атаки. ESET обаче не представя тази хипотеза като потвърден мотив.
Друг възможен интерес е наблюдението на местните отбранителни инициативи. Общинските администрации участват в организирането на гражданската защита, създаването на центрове за набиране и обучение и координирането на местни отбранителни дейности.
Изследователите подчертават, че тези хипотези не се изключват взаимно и че дейността на Gorbag може да е обусловена от комбинация от фактори.
Сред останалите цели са организации от отбранителния сектор и транспортен център, публично описван като важен пункт за чуждестранна военна помощ. ESET допуска, че интересът към него може да съчетава оценка на нанесените щети и наблюдение на доставките на военни ресурси.
Фишинг и сравнително прост набор от инструменти
Gorbag не разчита на сложни импланти за продължителен достъп. Вместо това използва малък набор от инструменти, предназначени да събират информация за кратък период и след това да премахват следите си.
През 2025 г. първоначалният достъп е осъществяван чрез целенасочени фишинг имейли с прикачени файлове, маскирани като официални или административни документи – например уведомления за глоби или данъци.
В един анализиран от ESET случай имейлът е изпратен от компрометиран акаунт на украинска местна администрация, което вероятно е увеличило доверието към съобщението.
Прикаченият файл е Excel документ с макроси във формат XLSM. Ако получателят разреши изпълнението им или настройките позволяват автоматично стартиране, VBA кодът декодира Base64 полезен товар, скрит в клетките на таблицата, записва го в %ProgramData% и го изпълнява.
Така се доставя BeautyStealer – основният инструмент на Gorbag за събиране на данни.
Prime ReverseShell и BeautyStealer
В ранните етапи на операцията Gorbag използва Prime ReverseShell – обратна PowerShell обвивка, включена в .NET файл чрез инструмента PS2EXE.
Инструментът позволява изпълнение на команди върху компрометирана система и изпращане на резултатите към сървър за командване и контрол (C2). Според ESET той е производен на публичното хранилище PSSW100AVB в GitHub, модифицирано според нуждите на операторите.
Една от версиите съдържа коментар, предназначен да заблуди ИИ асистенти и инструменти за анализ, като твърди, че файлът не е злонамерен и просто генерира прости числа. Два ИИ асистента са тествани от изследователите и нито един не е бил подведен – и двата са идентифицирали функционалността на обратната обвивка.
ESET не е наблюдавала Prime ReverseShell след разработването на BeautyStealer.
BeautyStealer е инструмент за кражба на данни, написан на C++, проследен в няколко версии от 0.9 до 2.0. Той събира:
- бисквитки, запазени пароли и локални данни от Chrome, Edge, Opera и Firefox;
- конфигурации на OpenVPN;
- документи на Microsoft Office, архиви и имейли;
- файлове от папките Desktop, Documents и Downloads;
- данни от сменяеми носители и свързани мрежови устройства.
Събраната информация се компресира и изпраща към Telegram чат, контролиран от нападателите, или към собствен C2 сървър. От версия 1.2 инструментът използва персонализиран сървър за ексфилтрация и по-силно криптиране на низовете.
Версия 2.0 включва по-значителни промени в именуването, веригата за компрометиране, криптирането и механизма за самопремахване.
Промяна във веригата за компрометиране
В началото на 2026 г. Gorbag променя метода си за първоначално проникване. Вместо Excel файлове с макроси групата започва да използва специално подготвени RAR архиви, които експлоатират CVE-2025-8088 – уязвимост в WinRAR, свързана с обход на пътища при извличане на файлове.
Уязвимостта позволява чрез специално създадени данни в алтернативни потоци да бъдат извличани файлове извън избраната от потребителя директория.
ESET първоначално наблюдава експлоатацията ѝ като zero-day в операции на RomCom – друга група, свързвана с Русия и известна с киберпрестъпни и шпионски дейности.
При атаките на Gorbag архивът показва примамващ PDF документ, но същевременно записва LNK файл в папката Windows Startup, както и криптиран полезен товар и PowerShell зареждащ компонент в %ProgramData%. LNK файлът осигурява постоянство, като задейства зареждащия компонент при стартиране или рестартиране на системата.
Краткотрайното проникване като оперативен модел
Въпреки използването на механизъм за постоянство в новата верига за компрометиране, основната характеристика на Gorbag остава бързото събиране на информация и последващото самопремахване на инструмента.
ESET оценява, че групата вероятно споделя откраднати идентификационни данни и други материали с допълнителни заплашителни актьори. Ако това предположение се потвърди, Gorbag може да представлява само първия етап от по-дълга верига на проникване, чиито следващи фази все още не са наблюдавани.
Изследователите очакват групи като Gorbag да останат заплаха за украинските държавни, съдебни и отбранителни структури, докато войната продължава.
