Seguridad · 6 de noviembre de 2026
Hackers alineados con Rusia explotan falla de WinRAR para desplegar malware de robo de datos
El actor de amenazas Gorbag, alineado con Rusia, ha sido observado utilizando malware simple de robo de información en ataques dirigidos contra organizaciones ucranianas.
El grupo ha estado activo desde al menos febrero de 2025 y se ha centrado exclusivamente en objetivos ucranianos. Sus preferencias claras incluyen entidades de justicia y aplicación de la ley, administraciones locales situadas cerca de la línea del frente y el sector de defensa.
Para iniciar la entrega de malware, los atacantes emplean correos electrónicos de spear phishing con archivos adjuntos maliciosos que utilizan señuelos gubernamentales u oficiales, como impuestos o multas administrativas. En un caso, se utilizó una hoja de cálculo de Excel habilitada para macros para ejecutar una carga útil de VBA que decodifica y ejecuta BeautyStealer.
BeautyStealer es la herramienta principal de recolección de datos y es una evolución del malware GIFTEDCROOK. Este software puede capturar datos de navegadores como Chrome, Edge, Opera y Firefox, además de configuraciones de OpenVPN y archivos con extensiones específicas, incluyendo correos electrónicos, bases de datos de KeePass, configuraciones de protocolo de escritorio remoto y documentos de Microsoft Office.
Los datos recolectados se comprimen en un archivo y se envían a un servidor de comando y control personalizado que implementa FastAPI o a un chat de Telegram controlado por el atacante. Una vez completada la misión, BeautyStealer se elimina del equipo comprometido, ya que se enfoca en la recolección puntual de información en lugar de mantener un acceso persistente.
Trend Micro atribuyó al adversario ataques que utilizan una vulnerabilidad ya corregida en WinRAR, identificada como CVE-2025-8088, para activar una cadena de carga lateral de DLL responsable de ejecutar el malware. ESET confirmó que esta cadena de compromiso conduce al despliegue de una variante de BeautyStealer, observada desde febrero de 2026.
En las primeras oleadas de ataques de 2025, se utilizó Prime ReverseShell, un derivado de PSSW100AVB que funciona como una shell inversa para ejecutar comandos. Una variante de este script incluía un comentario diseñado para engañar a los asistentes de inteligencia artificial y productos de seguridad, afirmando que el archivo no era malicioso y que solo generaba números primos, aunque las pruebas demostraron que esta inyección de prompts fue ineficaz.