Sicurezza · 6 novembre 2026
Attori informatici russi sfruttano vulnerabilità WinRAR per rubare dati da enti ucraini
Un gruppo di attori informatici allineati alla Russia, identificato come Gorbag, è stato osservato mentre utilizzava malware di furto dati semplici in attacchi mirati contro organizzazioni ucraine. Il gruppo è attivo almeno da febbraio 2025 e si è concentrato esclusivamente su obiettivi ucraini, con una chiara preferenza per enti di applicazione della legge e giustizia, amministrazioni locali vicino alla linea del fronte e il settore della difesa.
Le attività del gruppo presentano sovrapposizioni con un cluster monitorato dal Computer Emergency Response Team dell'Ucraina, noto come UAC-0226, e da Trend Micro come SHADOW-EARTH-066. Uno strumento chiave nell'arsenale del gruppo è GIFTEDCROOK, un malware scritto in C e C++ che facilita il furto di dati sensibili da browser web come Google Chrome, Microsoft Edge e Mozilla Firefox, inclusi cookie, cronologia di navigazione e dati di autenticazione.
A giugno, Trend Micro ha attribuito all'avversario attacchi che sfruttano una vulnerabilità ora corretta in WinRAR, identificata come CVE-2025-8088, per attivare una catena di caricamento di librerie DLL responsabile dell'esecuzione di GIFTEDCROOK. Il malware di furto dati distribuito da Gorbag è inoltre in grado di raccogliere configurazioni di rete virtuale privata e documenti di interesse, il che solleva la possibilità che il gruppo agisca come intermediario per l'accesso iniziale, trasferendo i dati rubati ad altri attori informatici per attività di post-sfruttamento.
Gli attacchi impiegano e-mail di phishing mirato con allegati malevoli che utilizzano esche a tema ufficiale o governativo, come multe amministrative o tasse, per avviare la distribuzione del malware. In un caso specifico, un foglio di calcolo Excel abilitato a macro è stato usato come vettore per eseguire un payload VBA, che decodifica ed esegue BeautyStealer. Questo strumento raccoglie dati da Chrome, Edge, Opera e Firefox, configurazioni OpenVPN e file con estensioni specifiche, inclusi documenti Microsoft Office, archivi, e-mail, database KeePass e configurazioni di protocollo desktop remoto e rete virtuale privata.
I dati raccolti vengono compressi in un archivio e inviati a una chat Telegram controllata dall'attaccante o a un server di comando e controllo personalizzato che implementa FastAPI. Una volta completata la missione, BeautyStealer si rimuove dall'host compromesso, evidenziando un focus sulla raccolta di informazioni on-off piuttosto che sul mantenimento di un accesso persistente. Il ricercatore Damien Schaeffer di ESET ha confermato che BeautyStealer è un'evoluzione di GIFTEDCROOK e che il gruppo ha completamente spostato l'uso sulla variante BeautyStealer dalla fine di dicembre 2025.
Le prime ondate di attacco osservate all'inizio del 2025 hanno utilizzato Prime ReverseShell, una derivazione di PSSW100AVB che funziona come shell inversa per eseguire comandi sui sistemi compromessi. Una variante di questo script include un commento che tenta di ingannare gli assistenti di intelligenza artificiale affermando che il file non è malevolo, ma test reali hanno dimostrato che questa iniezione di prompt non è efficace nel prevenire l'identificazione corretta della shell inversa.