WinRAR sotto attacco Gorbag: phishing e BeautyStealer saccheggiano dati ucraini sfruttando CVE-2025-8088

Il gruppo di minaccia Gorbag, allineato alla Russia, è stato osservato mentre conduce campagne di cyber espionage contro organizzazioni ucraine, con un interesse marcato per enti di forze dell’ordine e giustizia, amministrazioni locali vicine alla linea del fronte e settore difesa. Attivo almeno da febbraio 2025, l’attore utilizza tecniche di spear phishing e malware di tipo infostealer per sottrarre dati sensibili e supportare la raccolta di intelligence in contesto bellico.

Uno degli elementi più rilevanti è l’uso di una vulnerabilità di WinRAR corretta di recente, identificata come CVE-2025-8088. Lo sfruttamento della falla consente di avviare una catena di esecuzione basata su DLL sideloading, utile a far partire il payload sul sistema bersaglio. Questo passaggio evidenzia quanto anche software comuni e ampiamente diffusi possano diventare un vettore efficace quando non vengono aggiornati tempestivamente.

Sul fronte dei malware, Gorbag ha impiegato strumenti capaci di rubare informazioni dai browser come Chrome, Edge e Firefox, incluse cookie, cronologia e dati di autenticazione. Nel tempo si è osservata un’evoluzione verso BeautyStealer, una variante focalizzata sull’esfiltrazione rapida di dati e sull’eliminazione automatica dal dispositivo una volta conclusa l’operazione. Questa scelta riduce le tracce e suggerisce un modello operativo orientato a incursioni brevi e mirate, più che alla persistenza.

Le email di phishing usano esche credibili a tema istituzionale, per esempio comunicazioni su multe amministrative o tasse, e spesso includono allegati malevoli. In un caso viene sfruttato un file Excel con macro XLSM che esegue codice VBA per decodificare e lanciare il malware.

Dati e configurazioni presi di mira da BeautyStealer

• Configurazioni VPN (es. OpenVPN) e ulteriori impostazioni VPN
• File con estensioni specifiche, archivi e documenti
• Email e dati applicativi correlati
• Database KeePass
• Configurazioni RDP

I dati vengono compressi in un archivio e inviati tramite canali controllati dagli attaccanti, come chat Telegram o server di comando e controllo basati su FastAPI.

In fasi iniziali della campagna sono stati inoltre impiegati strumenti di reverse shell come Prime ReverseShell, utili a eseguire comandi da remoto e ricevere i risultati dal sistema compromesso. La strategia di Gorbag dimostra che per colpire obiettivi di alto valore non sempre servono malware sofisticati, ma una combinazione di phishing ben costruito, vulnerabilità sfruttabili e furto mirato di credenziali e documenti.