Хакерите от Gorbag експлоатират уязвимост в WinRAR за кражба на идентификационни данни от украински държавни институции

Свързани с Русия хакери, проследявани като Gorbag, експлоатират уязвимост в WinRAR, за да крадат пароли от браузъри, VPN конфигурации и чувствителни документи от украински организации.

Активна поне от февруари 2025 г., групата атакува държавни институции, правоохранителни органи, институции на правосъдието, местни администрации в близост до фронтовата линия и организации от сектора на отбраната.

Кампанията предпочита бързата кражба на данни пред продължителния отдалечен контрол. Зловредният код събира информация с едно преминаване, изпраща резултатите към инфраструктура, контролирана от атакуващите, и след това се опитва да се самоизтрие.

Изследователите смятат, че откраднатите идентификационни данни могат да послужат за последващи прониквания от други групи, макар тази възможна връзка да остава непотвърдена.

Изследователи от ESET, пишещи в WeLiveSecurity, идентифицират основната зловредна програма на групата като BeautyStealer – информационен крадец, написан на C++, заедно с по-ранен инструмент, наречен Prime ReverseShell.

Докладът им от 3 ноември свързва вече описаната активност на GIFTEDCROOK, приписвана от CERT-UA на UAC-0226, с по-широка операция за събиране на разузнавателна информация срещу украински цели.

Хакерите от Gorbag експлоатират уязвимост в WinRAR

През 2025 г. Gorbag използва главно целенасочени фишинг имейли със злонамерени прикачени Excel файлове. Съобщенията препращаха към рутинна държавна дейност, включително административни глоби и данъци.

Поне едно съобщение е изпратено от компрометирана пощенска кутия на украинска местна администрация, което дава на получателите още една причина да се доверят на прикачения файл.

Тези атаки приличат на описаната преди това кампания GIFTEDCROOK за кражба на пароли от браузъри, която също използва електронни таблици със скрит зловреден код.

Когато макросите се изпълнят, VBA процедура декодира злонамерено съдържание, съхранено в клетките на таблицата, записва зловредния код на диска и стартира BeautyStealer. Процесът зависи от това жертвите да разрешат макросите или настройките им да позволяват изпълнение.

В началото на 2026 г. Gorbag преминава към злонамерени RAR архиви, експлоатиращи CVE-2025-8088. Това е уязвимост от тип path traversal в WinRAR, която позволява на специално изработено съдържание на архива да излезе извън папката, избрана за разархивиране.

Атакуващите злоупотребяват с алтернативни потоци от данни (alternate data streams) – функция на файловата система на Windows, за да поставят злонамерени файлове другаде в системата. Пробивът вече е бил използван във фишинг атаките на RomCom чрез WinRAR, преди Gorbag да го възприеме.

Във веригата на Gorbag разархивирането показва PDF файл-примамка, като същевременно поставя пряк път в папката за автоматично стартиране на Windows (Startup). На диска се записват също криптиран зловреден код и PowerShell loader, като пряк път задейства loader-а при следващите стартирания на системата.

Около една четвърт от идентифицираните цели са организации от правосъдието или правоохранителните органи. Още една четвърт са местни органи на властта, най-вече градски съвети в близост до фронтовата линия.

Изследователите предполагат, че тези цели могат да предоставят информация за разследвания на военни престъпления, щети по инфраструктурата и местни инициативи за отбрана. Тези обяснения остават оценки, а не потвърдени цели.

BeautyStealer събира данни от браузъри, документи и частни ключове

BeautyStealer събира запазени пароли, бисквитки и състояние на браузъра от Chrome, Edge, Opera и Firefox.

Той търси също OpenVPN конфигурации и избрани файлове в папките Desktop, Documents и Downloads, на преносими носители и на свързани мрежови дискове. Така обхватът му надхвърля паролите от браузъри и стига до потенциално чувствителни организационни документи.

По-общата картина съответства на по-ранни публикации за руска кражба на идентификационни данни чрез WinRAR срещу украински организации. ESET установява, че BeautyStealer търси още KeePass бази данни, Java KeyStore файлове, конфигурации на Remote Desktop и контейнери със сертификати.

Особено показателни са файловете с ключове за украински електронни подписи, които съдържат тайни ключове, издадени от акредитирани удостоверителни центрове.

Събраната информация се компресира, преди да бъде изпратена през sendDocument API на Telegram или, от версия 1.2 нататък, към собствен сървър, използващ FastAPI. Версия 2.0 въвежда RC4 криптиране и заменя по-ранното почистване чрез batch скриптове с директни извиквания на Windows API за самоизтриване.

ESET проследява версиите от 0.9 до 2.0. Констатациите затвърждават необходимостта от инсталиране на корекции за сигурност на WinRAR на всички засегнати Windows системи. Уязвимостта е отстранена във версия 7.13.

Обновяването на уязвимите инсталации премахва тази входна точка, но организациите, които разследват предполагаем пробив, трябва да проверят и публикуваните индикатори и да преценят дали идентификационни данни или чувствителни файлове вече не са били изложени на риск.

Индикатори за компрометиране (IoC):

Забележка: IP адресите и домейните са умишлено дефангнати (напр. [.]), за да се предотврати случайно резолвиране или превръщане в хипервръзки. Връщайте оригиналния вид само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или във Вашия SIEM.