Segurança · 6 de novembro de 2026
Hackers Gorbag alinhados à Rússia exploram falha no WinRAR para implantar malware de roubo de dados
O grupo de ameaças Gorbag, alinhado à Rússia, foi observado utilizando malwares simples de roubo de informações em ataques direcionados a organizações ucranianas.
Ativo desde pelo menos fevereiro de 2025, o grupo focou exclusivamente em alvos ucranianos. Há uma preferência clara por entidades de justiça e aplicação da lei, administrações locais próximas à linha de frente e o setor de defesa.
Os ataques utilizam e-mails de spear-phishing com anexos maliciosos que usam iscas com temas governamentais ou oficiais, como impostos ou multas administrativas. Em um caso, uma planilha do Excel habilitada para macros é usada para executar um payload VBA, que decodifica e executa o BeautyStealer.
O BeautyStealer é a principal ferramenta de coleta de dados, capaz de capturar informações de navegadores como Chrome, Edge, Opera e Firefox, além de configurações de OpenVPN e arquivos com extensões específicas, incluindo e-mails, bancos de dados KeePass, configurações de protocolo de área de trabalho remota e documentos do Microsoft Office. Os dados coletados são compactados e enviados para um servidor de comando e controle personalizado ou para um chat do Telegram controlado pelo invasor. Após a conclusão, o malware se remove do sistema comprometido.
O grupo também utilizou a vulnerabilidade CVE-2025-8088 no WinRAR para disparar uma cadeia de carregamento lateral de DLL responsável por executar o malware. Anteriormente, o grupo utilizava o GIFTEDCROOK, um roubador escrito em C/C++ que facilita o furto de cookies, histórico de navegação e dados de autenticação. O BeautyStealer é considerado uma evolução do GIFTEDCROOK, e o Gorbag migrou completamente para a variante BeautyStealer no final de dezembro de 2025.
O grupo também utilizou o Prime ReverseShell, um derivado do PSSW100AVB que funciona como um shell reverso para executar comandos em sistemas comprometidos. Uma variante desse script continha um comentário tentando enganar assistentes de inteligência artificial e produtos de segurança, afirmando que o arquivo não era malicioso e apenas gerava números primos. Testes mostraram que essa injeção de prompt foi ineficaz.