Een Russia-aligned dreigingsgroep, bekend onder de naam Gorbag, is in verband gebracht met gerichte aanvallen op Oekraïense organisaties. Volgens onderzoekers gebruikt de groep relatief “eenvoudige” malware om data te verzamelen—met focus op browsergegevens, VPN-instellingen en documenten. In eerdere aanvallen werd bovendien een kwetsbaarheid in WinRAR misbruikt om een distributieketen op te starten die uiteindelijk datadiefstal mogelijk maakte.
Wat deze campagne extra relevant maakt: de techniek draait niet om langdurige toegang, maar om het snel verzamelen en exfiltreren van waardevolle informatie. Dat zie je terug in de manier waarop de gebruikte tools zichzelf na de missie verwijderen.
Wie is Gorbag en waar richt de groep zich op?
Gorbag is volgens ESET-onderzoekers al sinds ten minste februari 2025 actief. De activiteit lijkt daarbij sterk geconcentreerd op Oekraïense doelen. De voorkeur gaat uit naar onder meer organisaties rond wetshandhaving en justitie, lokale overheden in de buurt van het front en entiteiten in de defensiesector.
Daarnaast overlapt Gorbag volgens rapportages met clusters die ook door andere partijen zijn gevolgd, zoals CERT-UA onder de noemer UAC-0226 en Trend Micro als SHADOW-EARTH-066. Dat versterkt het beeld dat het om een consistente, gerichte dreigingscampagne gaat.
Gorbag WinRAR datadiefstal: kwetsbaarheid als startpunt
Een belangrijk onderdeel van de aanvalsketen is het misbruik van een WinRAR-kwetsbaarheid. In juni werd Gorbag door Trend Micro gelinkt aan aanvallen die een inmiddels gepatchte WinRAR-kwetsbaarheid inzetten: CVE-2025-8088. Het idee achter de inzet van deze fout is het opzetten van een DLL sideloading-keten die malware kan laten uitvoeren.
Concreet gaat het om een scenario waarin een schijnbaar normaal archiefcomponent een stap in de keten activeert, waarna de infostealer wordt ingezet. Voor organisaties betekent dit vooral één ding: niet alleen letten op “klassieke” malware-aanhechtingen, maar ook op de beveiligingsstatus van bestandsverwerkers zoals archiveringssoftware.
Wil je breder zien hoe supply chain- en tool-kwetsbaarheden in de praktijk tot “keten tot root” of datalevering kunnen leiden? Lees dan ook Barracuda kwetsbaarheden: keten tot root.
De kern: infostealers voor browsers, VPN en documenten
De malware in deze campagne is ontworpen om informatie te verzamelen. De groep maakt daarbij gebruik van twee namen die in dezelfde context terugkomen:
- GIFTEDCROOK: een C/C++ infostealer die browserdata uit o.a. Chrome, Microsoft Edge en Mozilla Firefox kan stelen (zoals cookies, browsegeschiedenis en authenticatiegegevens).
- BeautyStealer: een opvolger/variant die de dataverzameling doorzet en die na december 2025 volledig lijkt te zijn overgenomen als de gebruikte “primary” tool.
BeautyStealer gaat verder dan alleen browsers. De tool kan ook VPN-configuraties en documenten van belang oogsten. Daarbij gebruikt hij bestandselectie op basis van extensies en richt hij zich onder meer op bestanden die passen bij Office-documenten, archieven, e-mail-gerelateerde data, KeePass-databases, en configuraties die relevant kunnen zijn voor remote toegang zoals RDP en VPN.
Hoe verloopt een aanval? Van spearphishing tot Telegram of eigen C2
De aanvallen starten volgens de beschrijvingen met spear-phishing e-mails. Die gebruiken lokazen in de sfeer van officiële of overheidscommunicatie, zoals administratieve boetes of belastingen, om ontvangers te laten klikken of bijlagen uit te voeren.
In één beschreven geval wordt een macro-geschikte Excel-bijlage (.XLSM) ingezet als tussenstap. De macro draait een VBA-payload die vervolgens een component decodeert en executeert: BeautyStealer.
Daarna worden de verzamelde gegevens samengeperst en verstuurd naar een aanvalskanaal dat door de aanvaller wordt beheerd. Dat kan via een Telegram-chat, of via een eigen command-and-control (C2) server die werkt met FastAPI.
Opvallend is dat de tool, zodra de missie is afgerond, zichzelf verwijdert van het besmette systeem. Daarmee is de focus primair op “on-off” dataverzameling, niet op langdurig persistence.
Reverse shell en misleiding met ‘AI-proof’ teksten
Naast stealerfunctionaliteit wordt ook melding gemaakt van een reverse shell component: Prime ReverseShell. Dit wordt in de vroege waarnemingen van 2025 gekoppeld aan Gorbag, en het werkt als een afgeleide van een eerdere reverse-shell aanpak. Het doel is om commando’s uit te voeren op een gecompromitteerd systeem en resultaten terug te sturen naar een C2.
Er bestaat ook een interessante, maar mislukte, poging tot misleiding. In een variant zou bovenaan een script-commentaar staan met de strekking dat het “niet kwaadaardig” zou zijn en enkel prime number generatie zou doen—met expliciete verwijzing naar LLM/AI analyse. In praktijk, zo stellen onderzoekers, werkt die insteek niet: het prompt-idee blijkt niet effectief om AI-assistenten of securityproducten te misleiden tijdens analyse.
Dat sluit aan bij de bredere observatie uit het onderzoek: cyberespionage draait niet per se om geavanceerde malware. In deze zaak zijn infostealers en een reverse shell voldoende om gerichte inlichtingenverzameling mogelijk te maken.
Als je meer wilt weten over hoe AI-gestuurde of AI-gerelateerde aanvallen kunnen proberen om detectie te omzeilen, dan kan dit aansluiten op LLMjacking: wat het kost en hoe je het herkent.
Wat betekent dit voor organisaties? Praktische aandachtspunten
Omdat Gorbag gebruikmaakt van zowel tool-kwetsbaarheden (WinRAR) als leveringsketens (spearphishing met macro’s) en vervolgens dataharvesting, is een aanpak in lagen het meest logisch.
- Patch archiveringssoftware en workflows: voorkom misbruik van bekende kwetsbaarheden zoals CVE-2025-8088 door WinRAR en vergelijkbare tools up-to-date te houden.
- Beperk macro’s waar mogelijk: macro-gedreven bijlagen (.XLSM) blijven een populaire schakel. Handhaving van beleid (en passende beperkingen) verkleint het leveringsrisico.
- Monitor exfiltratiekanalen: let op ongebruikelijke uitgaande verbindingen naar services die als datatransport kunnen dienen (zoals Telegram-achtige patronen) en naar interne C2-achtige endpoints.
- Harde detectie op datatypes: deze campagne richt zich op browsertokens/cookies, VPN-configuraties en specifieke documenttypen. Detecteer daarom ook op abnormale toegang tot browserprofielen en configuratiebestanden.
- Assestate response: omdat de malware zichzelf kan verwijderen na afronding, is snelle detectie en forensische veiligstelling belangrijker dan bij “blijvende” persistence.
Tot slot is het relevant om te beseffen dat stealer-activiteiten onderdeel kunnen zijn van een grotere keten. Onderzoekers geven aan dat de aanvaller mogelijk als eerste stap fungeert: de gestolen data wordt vervolgens mogelijk overgedragen aan andere partijen voor verdere uitbuiting. Dat vraagt om scenario-denken in plaats van alleen “cleanup” na het incident.
Conclusie
De Gorbag-campagne laat zien hoe doelgerichte spionage ook met relatief eenvoudige tools kan worden uitgevoerd. Door een WinRAR-kwetsbaarheid (gepatcht) in te zetten voor de distributieketen, en vervolgens via infostealers browser- en VPN-gegevens te verzamelen, wordt informatie snel naar het aanvalskanaal gebracht. Juist daarom loont het om patching, phishingweerbaarheid en datatoegangsdetectie als één geheel te benaderen.
Wilt u uw weerbaarheid tegen dit soort gerichte campagnes verder aanscherpen? Kijk dan ook naar de bredere lijn van incidenten waarbij tooling en ketens een hoofdrol spelen, zoals beschreven in Focus op recente cyberdreigingen: van DDoS tot supply chain.
Bron: https://thehackernews.com/2026/11/russia-aligned-gorbag-hackers-exploit.html
