Grupa Gorbag atakuje ukraińskie sądy i rady miast samousuwającym się stealerem

ESET opisuje powiązaną z Rosją grupę Gorbag. Co najmniej od lutego 2025 roku włamuje się ona do ukraińskich instytucji przez załączniki w wiadomościach spearphishingowych wysyłanych z przejętych skrzynek. Używa stealera, który po wysłaniu danych sam się usuwa. Według badacza ESET Damiena Schaeffera narzędzia za jednym razem zbierają hasła zapisane w przeglądarkach, konfiguracje VPN i wybrane dokumenty. W 2025 roku załącznikiem był plik Excel z makrami. Krótki kod VBA dekodował ukryty w komórkach ładunek base64, zapisywał go w katalogu %ProgramData% i uruchamiał. Przynętami były zwykłe sprawy urzędowe, czyli kary administracyjne i zawiadomienia podatkowe. ESET dopuszcza, że Gorbag działa jako pośrednik przekazujący zdobyty dostęp innym grupom.

Kogo dotyczy

Wszystkie cele wskazane przez ESET są na Ukrainie. Około jednej czwartej to organy ścigania i wymiaru sprawiedliwości. Kolejna ćwierć to samorządy, głównie rady miast blisko linii frontu. Resztę stanowią podmioty sektora obronnego i jedna organizacja opisywana jako ważny węzeł transportowy zagranicznej pomocy wojskowej.