安全 · 2026年11月6日
与俄罗斯关联的 Gorbag 黑客利用 WinRAR 漏洞部署窃密软件
一个名为 Gorbag 的与俄罗斯关联的威胁参与者被观察到使用简单的信息窃取恶意软件，攻击目标为乌克兰组织。
该组织至少自 2025 年 2 月起活跃，专门针对乌克兰目标，且明显偏好执法和司法实体、前线附近的当地行政部门以及国防部门。
Gorbag 利用 WinRAR 中一个已修复的漏洞，即 CVE-2025-8088，来触发动态链接库侧加载链，从而执行恶意软件。该组织部署的窃密软件包括 BeautyStealer，它可以从 Chrome、Edge、Opera 和 Firefox 等浏览器中获取数据，并收集 OpenVPN 配置以及包括 Microsoft Office 文档、存档、电子邮件、KeePass 数据库、远程桌面协议配置和 VPN 配置在内的特定扩展名文件。
在攻击手段方面，该威胁参与者使用带有恶意附件的鱼叉式网络钓鱼电子邮件，利用行政罚款或税收等官方或政府主题的诱饵来交付恶意软件。在某些案例中，启用宏的 Excel 电子表格被用作运行 VBA 负载的渠道，进而解码并执行 BeautyStealer。收集到的数据会被压缩成存档，并发送到攻击者控制的 Telegram 聊天或自定义的命令与控制服务器。
此外，该组织在 2025 年初的攻击波中使用了 Prime ReverseShell，这是一种反向 shell，用于在受害系统上执行命令。该脚本包含一段试图欺骗人工智能助手和安全产品的提示词，声称该文件并非恶意且仅用于生成质数，但实际测试表明这种提示词注入手段无效。