Gorbag siber tehdidi Ukrayna hedeflerine WinRAR açığıyla veri hırsızlığı yapıyor

black and red signage near body of water at daytime — Fleur / Unsplash

Rusya yanlısı Gorbag siber tehdit aktörü, Ukrayna kuruluşlarını hedef alan saldırılarda basit bilgi hırsızlığı yazılımlarını kullanmaktadır. Bu grup, Ukrayna’daki yargı ve kolluk kuvvetleri, cep hattına yakın yerel idareler ile savunma sektörünü özellikle hedef almaktadır. ESET araştırmacısı Damien Schaeffer’in paylaştığı rapora göre, Gorbag en azından Şubat 2025’ten beri aktif olup Ukrayna hedeflerine odaklanmıştır.

Gorbag’ın yazılım silahlanmasındaki temel araçlardan biri, Google Chrome, Microsoft Edge ve Mozilla Firefox gibi web tarayıcılarından çerezler, gezinme geçmişi ve kimlik doğrulama verileri gibi hassas bilgileri çalmayı kolaylaştıran C/C++ tabanlı GIFTEDCROOK hırsız yazılımıdır. Haziran ayının başlarında Trend Micro, saldırganın WinRAR’daki (CVE-2025-8088) artık yamalanmış bir güvenlik açığını kullanarak GIFTEDCROOK’u çalıştırmaktan sorumlu bir DLL yan yükleme zincirini tetikleyen saldırılara atfetmiştir. ESET, Trend Micro tarafından belgelenen CVE-2025-8088 ihlal zincirinin aslında bir BeautyStealer varyantının dağıtımına yol açtığını doğrulamıştır.

Gorbag tarafından dağıtılan hırsız yazılımlar, VPN yapılandırmalarını ve ilgi çekici belgeleri toplama yeteneğine sahiptir. Bu durum, çalınan verileri diğer tehdit aktörlerine devrederek onların kendi istismar sonrası faaliyetlerini yürütmesine olanak tanıyan bir başlangıç erişim aracısı olarak hareket edebileceği ihtimalini doğurmaktadır. ESET, Gorbag’ın daha uzun bir sızma zincirinin yalnızca ilk aşamasını temsil edebileceğini ve sonraki aşamalarının henüz gözlemlenmediğini belirtmiştir. Hedef seçiminin Rusya’nın savaş zamanı istihbarat öncelikleriyle yakından uyumlu olduğu ifade edilmiştir.

Saldırganın saldırıları, kötü amaçlı ekli dosyalar içeren ve idari cezalar veya vergiler gibi resmi veya hükümet temalı yemler kullanan hedefli e-posta phishing kampanyalarını içerir. Bir vakada, VBA yükünü çalıştırmak için makro destekli bir Excel çalışma kitabı (.XLSM) kullanılmıştır. BeautyStealer, Chrome, Edge, Opera ve Firefox’tan veri yakalayabilen, OpenVPN yapılandırmalarını ve belirli uzantılara sahip dosyaları toplayabilen temel veri toplama aracıdır. Toplanan veriler, saldırgan tarafından kontrol edilen bir Telegram sohbetine veya FastAPI uygulayan özel bir komut ve kontrol sunucusuna gönderilir.

Schaeffer’e göre BeautyStealer, GIFTEDCROOK yazılımının ortak kökenlere sahip bir evrimidir. Gorbag, Aralık 2025’in sonundan itibaren yalnızca BeautyStealer varyantını kullanmaya tamamen geçmiştir. İlk örnekler, biraz farklı bir ihlal zinciri kullanarak Aralık 2025’te gözlemlenmiş, mevcut aile ise Şubat 2026’da CVE-2025-8088 açığı ile başlamıştır. Erken 2025’te gözlemlenen ilk saldırı dalgaları, PSSW100AVB’nin bir türevi olan ve komutları çalıştırmak için kullanılan Prime ReverseShell’i içeriyordu. ESET, bir varyantın yapay zeka asistanlarını ve güvenlik ürünlerini yanıltmaya çalıştığını ancak gerçek dünya testlerinde bu prompt enjeksiyonunun etkisiz kaldığını belirtmiştir.