Группа Gorbag с февраля 2025 года атакует украинские организации транспорта, обороны, правоохранительных органов и госуправления. На Windows-машины она ставит два образца вредоносного ПО: инструмент удалённого доступа Prime ReverseShell и похититель BeautyStealer. Атаки через уязвимость в WinRAR начались в начале 2026 года - спустя несколько месяцев после раскрытия сведений о ней и выхода исправления.
Описание
Цели - приграничные регионы Украины. Около четверти из них правоохранительные и судебные органы: вероятно, группу интересуют материалы о военных преступлениях. Остальное - городские советы прифронтовых городов, оборонные предприятия и крупный транспортный узел, через который идёт иностранная военная помощь.
По данным Hive Pro, часть писем с приманками про налоги, штрафы, призыв и закупки дронов уходила со взломанных ящиков украинских госструктур. Такой конверт выглядит убедительнее внешнего адреса, и получатель реже проверяет вложение.
В 2025 году во вложениях шли таблицы Excel с макросами. При открытии макрос собирал из ячеек закодированную нагрузку, декодировал её в служебную папку Windows и запускал. Никакого эксплойта для этого не требовалось - хватало одного клика по файлу. Дальше на машине оказывался Prime ReverseShell или BeautyStealer.
Prime ReverseShell работает на PowerShell и даёт удалённый доступ к системе через исходящее соединение. Собран он из открытого проекта PSSW100AVB и упакован утилитой PS2EXE; запуск отложен на несколько минут, а адрес управляющего сервера спрятан среди подставных. Отдельная деталь - комментарий в начале файла: он убеждает проверяющих, включая ИИ-инструменты, что перед ними генератор простых чисел.
С начала 2026 года группа перешла на RAR-архивы и применяет CVE-2025-8088 - обход пути в WinRAR, закрытый в версии 7.13. Она позволяет записать файл за пределы папки распаковки через потоки NTFS. Жертва смотрит PDF-приманку, а в это время в автозагрузку попадает ярлык: при каждом входе в систему он запускает PowerShell-загрузчик, который расшифровывает и выполняет нагрузку. WinRAR не обновляется сам, поэтому старые копии остаются уязвимыми.
BeautyStealer - собственный похититель группы, написанный на C++. Он забирает cookie и сохранённые пароли браузеров, профили, конфигурации OpenVPN, а с версии 1.1 - документы, базы KeePass и хранилища ключей Java. Шифрование строк внутри файла менялось от версии к версии. Выгрузку перевели с Telegram-бота на HTTPS-запросы к собственному серверу на FastAPI, после отправки программа удаляет себя.
В приложении к разбору опубликованы два правила YARA. Одно ищет RAR-архив с NTFS-потоком, использующим CVE-2025-8088, второе - упакованный Prime ReverseShell по сетевым маркерам и строкам клиента. Авторы описывают уверенность как высокую при совпадении нескольких признаков.
По словам исследователя, BeautyStealer вырос из похитителя GIFTEDCROOK и делит с ним общие корни; с конца декабря 2025 года группа использует только его. Инструменты Gorbag пересекаются и с набором UAC-0226. Постоянного присутствия на машинах группа не поддерживает - собирает данные и уходит. Отсюда версия, что Gorbag работает как брокер первичного доступа для других групп, хотя прямых доказательств передачи доступа нет. Объём украденного тоже не раскрыт, а общие корни с GIFTEDCROOK указывают на родство кода, не на общий штат.
Индикаторы компрометации
YARA
