De Russische hackinggroep Gorbag valt Oekraïense overheidsinstanties en infrastructuur aan om informatie te stelen over oorlogsmisdaden en militaire bevoorrading.
Een tot nu toe onbekende, aan Rusland gelieerde hackinggroep genaamd Gorbag richt zich sinds februari 2025 op Oekraïense overheidsinstanties, defensieorganisaties en infrastructuur die wordt gebruikt voor het transport van buitenlandse militaire hulp. Dit blijkt uit een dinsdag gepubliceerd rapport van cybersecuritybedrijf ESET.
De groep gebruikt relatief eenvoudige malware om gevoelige documenten, inloggegevens en andere informatie te stelen, vooral bij organisaties dicht bij de frontlinie en de Russische grens. In tegenstelling tot geavanceerdere cyberspionagegroepen die langdurig toegang proberen te behouden, focust Gorbag zich op het snel verzamelen van informatie waarna de malware wordt verwijderd. De doelwitten van de groep sluiten nauw aan bij de Russische inlichtingenprioriteiten tijdens de oorlog, zoals het monitoren van onderzoeken naar Oekraïense oorlogsmisdaden, het beoordelen van schade door Russische aanvallen en het verzamelen van gegevens over militaire bevoorrading en lokale defensieactiviteiten.
Ongeveer een kwart van de bekende doelwitten bestaat uit Oekraïense politie- en gerechtelijke instanties. Deze aanvallen lijken gericht op het volgen van onderzoeken naar vermeende Russische oorlogsmisdaden en het identificeren van Russische agenten en collaborateurs binnen Oekraïne. Een ander kwart betreft lokale overheden, voornamelijk stadsbesturen in frontliniegebieden, die informatie verzamelen over schade door Russische luchtaanvallen, inclusief niet-publieke rapporten over kritieke infrastructuur en herstelprognoses. Toegang tot deze gegevens kan Russische strijdkrachten helpen de effectiviteit van hun aanvallen te evalueren. Daarnaast zoekt de groep mogelijk informatie over lokale defensie-initiatieven zoals werving, militaire training en civiele bescherming.
Verder vallen ook Oekraïense defensieorganisaties en een belangrijke transporthub voor buitenlandse militaire hulp onder de doelwitten. Hoewel ESET de locatie niet noemt, is bekend dat deze faciliteit eerder door Russische luchtaanvallen werd getroffen. De hackers proberen mogelijk inlichtingen te verkrijgen over binnenkomende militaire leveringen en de schade aan transportinfrastructuur.
De aanvallen van Gorbag verlopen voornamelijk via phishingmails met kwaadaardige bijlagen, vaak vermomd als officiële documenten over administratieve boetes of belastingen. Bij het openen van de bijlage kunnen opgeslagen browserwachtwoorden, cookies, VPN-configuraties en geselecteerde bestanden zoals Microsoft Office-documenten, e-mails en archieven worden gestolen. Het belangrijkste informatie-diefstalprogramma van de groep, BeautyStealer, doorzoekt computers, verwisselbare opslagmedia en netwerkstations op waardevolle bestanden en verwijdert zichzelf na het verzenden van de gestolen data. Daarnaast gebruikt Gorbag Prime ReverseShell, een tool die is aangepast van openbaar beschikbare code, waarmee aanvallers op afstand commando’s kunnen uitvoeren op geïnfecteerde systemen.
Begin 2026 wijzigde Gorbag zijn werkwijze door een bekende kwetsbaarheid in WinRAR (CVE-2025-8088) te misbruiken. Deze fout, die in juli 2025 werd gepatcht, maakt het mogelijk om kwaadaardige code uit te voeren bij het openen van speciaal vervaardigde archieven. Eerder werd deze kwetsbaarheid ook al door de Russische groep RomCom geëxploiteerd. Volgens ESET ligt de focus van Gorbag op het snel verzamelen van informatie in plaats van langdurige toegang tot netwerken te behouden, wat hun werkwijze onderscheidt van andere cyberspionagegroepen zoals beschreven in het ESET-rapport.
