Oekraïense politie, gemeenten en defensie doelwit van pro-Russische hackersgroep Gorbag

Alle doelwitten die ESET identificeerde bevinden zich in Oekraïne, blijkt uit een analyse die het bedrijf deelde tijdens de Virus Bulletin-conferentie van 2026. Ongeveer een kwart ervan zijn politie- en justitiële organisaties. De Oekraïense rechtspraak werkt aan strafzaken rond oorlogsmisdaden en heeft al enkele honderden aanklachten ingediend.

Nog eens een kwart bestaat uit lokale overheden, voornamelijk gemeenteraden in gebieden dicht bij het front. Mogelijk verzamelt Gorbag hier informatie over oorlogsschade en lokale defensie-initiatieven. De overige doelwitten bevinden zich onder meer in de defensiesector. Hieronder valt ook een belangrijk transportknooppunt voor buitenlandse militaire hulp. Deze infrastructuur is eerder getroffen door Russische luchtaanvallen. Het zou kunnen dat Gorbag inzicht probeert te krijgen in zowel de schade als binnenkomende militaire leveringen.

Aanvalsmethode veranderd

In 2025 verspreidde Gorbag malware via gerichte phishingmails met schadelijke bijlagen. De berichten bevatten documenten met officiële onderwerpen, zoals administratieve boetes en belastingen.

Vanaf het begin van dit jaar veranderde de aanvalsmethode. Gorbag begon schadelijke RAR-archieven te verspreiden die misbruik maken van CVE-2025-8088, een kwetsbaarheid in WinRAR. ESET Research meldde deze kwetsbaarheid in augustus 2025. Destijds maakte ook RomCom, een andere pro-Russische hackersgroep, er misbruik van als zero day.

Wanneer een slachtoffer het archief opent op een kwetsbaar systeem, verschijnt een misleidend PDF-bestand. Ondertussen plaatst de malware een LNK-bestand in de opstartmap van Windows, samen met een versleutelde payload en een PowerShell-loader.

Twee hulpmiddelen voor diefstal en toegang op afstand

Gorbag gebruikt twee belangrijke hulpmiddelen: Prime ReverseShell en BeautyStealer. Prime ReverseShell maakt het mogelijk om op afstand opdrachten uit te voeren. BeautyStealer verzamelt cookies, opgeslagen wachtwoorden en lokale gegevens uit Chrome, Edge, Opera en Firefox. Daarnaast steelt BeautyStealer OpenVPN-configuraties, Microsoft Office-documenten, archieven en e-mails. De malware doorzoekt onder meer de mappen Bureaublad, Documenten en Downloads, maar ook verwisselbare opslagmedia en gekoppelde netwerkstations.

ESET ontdekte bovendien een variant van Prime ReverseShell met een commentaarregel die AI-assistenten en beveiligingssoftware probeert te misleiden. ESET testte deze techniek met twee AI-assistenten. Beide herkenden de schadelijke functionaliteit correct.

"Gorbag gebruikt geen geavanceerde malware om langdurig toegang te houden tot systemen, maar eenvoudige hulpmiddelen om snel informatie te verzamelen. De groep steelt onder meer browsergegevens, VPN-configuraties en documenten. Daarna probeert de malware zichzelf te verwijderen", zegt ESET-onderzoeker Damien Schaeffer, die Gorbag ontdekte en onderzocht.

"Mogelijk verzamelt Gorbag deze gegevens om andere hackersgroepen toegang te geven tot getroffen systemen. Als dat klopt, is Gorbag alleen betrokken bij de eerste fase van een uitgebreidere aanval. De vervolgactiviteiten hebben we nog niet waargenomen", aldus Schaeffer.