親俄網路間諜組織Gorbag鎖定烏克蘭政府，透過網釣郵件及WinRAR漏洞竊取情報

資安業者ESET調查親俄網路間諜組織Gorbag的攻擊活動，發現該組織至少自2025年2月起，針對烏克蘭政府、司法及執法機關、國防相關單位發動攻擊，目標還包括外國軍援物資的重要運輸據點。研究人員研判，攻擊者可能藉此蒐集與俄烏戰爭有關的情報。

Gorbag主要透過魚叉式網路釣魚郵件發動攻擊，甚至曾利用遭入侵的烏克蘭地方政府電子郵件帳號寄送惡意附件。2025年，攻擊者曾在Excel附件中植入惡意巨集，藉此執行資料竊取程式BeautyStealer；到了2026年初，則開始利用WinRAR路徑穿越漏洞CVE-2025-8088，透過特製RAR壓縮檔將惡意捷徑檔案寫入Windows啟動資料夾，讓惡意程式在系統下次啟動時執行。這項漏洞先前也曾被親俄組織RomCom用於零時差攻擊。BeautyStealer可竊取瀏覽器儲存的密碼、Cookie、OpenVPN組態及特定文件，完成資料外傳後再嘗試自行刪除。

研究人員指出，Gorbag主要透過惡意程式快速竊取資料，而不是長期控制受害系統。ESET推測，該組織可能扮演初始存取仲介者（Initial Access Broker），將取得的登入憑證及其他資料提供給其他威脅組織，用於後續攻擊。