Nhóm Gorbag: Tấn công Ucraina từ 2025, Tập trung vào An ninh và Vệ tinh

Nhóm Gorbag, một nhóm tấn công liên quan đến Nga, đã thực hiện các cuộc tấn công từ tháng 2/2025, tập trung vào các tổ chức an ninh và vệ tinh của Ucraina. Họ sử dụng các công cụ đơn giản để thu thập thông tin và thường sử dụng spearphishing.

Nội dung chính

• Gorbag là một nhóm tấn công liên quan đến Nga, hoạt động từ tháng 2/2025.
• Nhóm tập trung vào các tổ chức an ninh và vệ tinh của Ucraina.
• Họ sử dụng các công cụ đơn giản để thu thập thông tin, bao gồm BeautyStealer.
• Gorbag đã sử dụng spearphishing với các tệp đính kèm để tấn công.
• Trong đầu năm 2026, họ đã chuyển sang sử dụng WinRAR để khai thác lỗ hổng CVE-2025-8088.

Chi tiết sự việc

Nhóm Gorbag, một nhóm tấn công liên minh với Nga, đã hoạt động từ tháng 2/2025, tập trung vào các tổ chức an ninh và chính quyền địa phương ở Ucraina gần đường biên giới giữa hai nước. Các nhà nghiên cứu của ESET đã theo dõi nhóm này, đặc biệt chú ý đến việc họ sử dụng một infostealer tên là GIFTEDCROOK, được CERT-UA gán cho mã UAC-0226.

Gorbag không sử dụng các implant phức tạp để duy trì quyền truy cập lâu dài, thay vào đó họ sử dụng một bộ công cụ nhỏ nhằm thu thập thông tin nhanh chóng. Credencial lưu trữ trong trình duyệt, cấu hình của dịch vụ VPN và các tài liệu được chọn sẽ được thu thập trong một lần tấn công trước khi malware cố gắng xóa bản thân. Một lý do có thể là Gorbag hoạt động như một initial access broker (IAB), chia sẻ thông tin và dữ liệu đã thu thập với các nhóm tấn công khác để thực hiện các hoạt động sau này.

Mục tiêu của nhóm Gorbag trùng khớp với ưu tiên của tình báo Nga trong cuộc chiến, bao gồm các tổ chức an ninh và chính quyền địa phương của Ucraina, các cơ quan phòng vệ, và một trung tâm logistict quan trọng được sử dụng để vận chuyển viện trợ quân sự từ nước ngoài. Malware được phân phối qua email spearphishing với tệp đính kèm độc hại.

Nhóm này sử dụng một reverse shell trong PowerShell được gọi là Prime ReverseShell và một stealer phát triển bằng C++ để lấy dữ liệu từ trình duyệt và tệp, gọi là BeautyStealer. Đầu năm 2026, Gorbag đã cập nhật chuỗi tấn công của mình để khai thác CVE-2025-8088, một lỗ hổng path traversal trong WinRAR được ESET Research phát hiện và báo cáo.

Tất cả các mục tiêu của Gorbag được xác định bởi ESET Research đều nằm ở Ucraina, và việc chọn mục tiêu của nhóm này tập trung vào ba khu vực chính, trùng khớp với ưu tiên của tình báo Nga trong cuộc chiến.

Gorbag tập trung vào các tổ chức chính phủ Ukraina liên quan đến an ninh và công lý, chiếm khoảng một phần tư trong tổng số mục tiêu. Đây không phải là một hướng tiếp cận mới cho các nhà hoạt động mạng liên kết với Nga. Năm 2023, Cơ quan Thông tin Đặc biệt và Bảo vệ Thông tin của Ukraina (SSSCIP) báo cáo rằng các nhà hoạt động liên quan đến GRU và FSB đang cố gắng xâm nhập vào các tổ chức an ninh trên toàn quốc. Các động cơ được xác định vào thời điểm đó có thể vẫn còn liên quan hiện tại: theo dõi và có thể làm chậm các nỗ lực của Ukraina để ghi chép và xử lý tội ác chiến tranh do lực lượng Nga gây ra, cũng như thu thập thông tin về các cuộc điều tra nhằm xác định tài sản và đồng minh Nga trong lãnh thổ Ukraina.

Hệ thống pháp lý Ukraina vẫn hoạt động tích cực trong thời gian xung đột, với hàng trăm cáo trạng đã chính thức hóa. Việc mở phiên tòa xét xử tội ác chiến tranh đối với một binh sĩ Nga bị bắt vào tháng Hai 2025 có thể là một trong những yếu tố đằng sau sự quan tâm mới này. Theo dữ liệu của chúng tôi, hoạt động đầu tiên của Gorbag nhắm vào một tổ chức pháp lý Ukraina diễn ra vào cuối tháng Ba 2025.

Các cơ quan chính quyền địa phương Ukraina gần khu vực chiến đấu

Một phần tư mục tiêu của Gorbag liên quan đến các cơ quan chính phủ địa phương, chủ yếu là hội đồng thành phố nằm trong khu vực gần khu vực chiến đấu. Mặc dù các cơ quan chính quyền địa phương có thể được xem là mục tiêu không thường gặp trong hoạt động gián điệp, có nhiều giả thuyết có thể giải thích sự lựa chọn này:

Đánh giá thiệt hại chiến đấu (BDA): các hội đồng thành phố Ukraina thường chịu trách nhiệm báo cáo thiệt hại do các cuộc tấn công không quân Nga gây ra. Trong khi nạn nhân con người thường được công bố, các đánh giá khác, như thiệt hại đối với cơ sở hạ tầng quan trọng và thời gian ước tính để sửa chữa, thường giữ bí mật. Hầu hết các thành phố mà hội đồng thành phố của chúng bị Gorbag tấn công đều chịu các cuộc tấn công không quân Nga trong thời gian phân tích, điều này gợi ý rằng các nhà điều hành có thể đang cung cấp cho lãnh đạo quân sự Nga thông tin về hiệu quả của các cuộc tấn công này.

Theo dõi các hoạt động bảo vệ địa phương: các hội đồng thành phố cũng giám sát các hoạt động bảo vệ địa phương, như việc thành lập các trung tâm tuyển dụng và huấn luyện, cũng như tổ chức các biện pháp phòng vệ dân sự trong khu vực của họ. Sự lựa chọn các mục tiêu này bởi Gorbag có thể nhằm thu thập thông tin về các hoạt động này, đặc biệt là trong khu vực gần khu vực chiến đấu.

Những giả thuyết này không phải là độc lập, và hoạt động của Gorbag có thể được thúc đẩy bởi sự kết hợp của những yếu tố này và các yếu tố khác.

Đối tượng bị ảnh hưởng

Nhóm tấn công này đã ảnh hưởng đến các tổ chức an ninh và vệ tinh của Ucraina.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn WeLiveSecurity Español. Vui lòng đối chiếu bài gốc trước khi sử dụng.