Duy Linh✔
Writer
Một chiến dịch gián điệp mạng có chủ đích do Gorbag, nhóm tin tặc được cho là có liên hệ với Nga, đang nhắm vào các tổ chức tại Ukraine thông qua việc khai thác lỗ hổng WinRAR CVE-2025-8088. Nhóm này sử dụng mã độc BeautyStealer để thu thập thông tin tình báo, bao gồm dữ liệu trình duyệt, tài liệu nội bộ và các thông tin liên quan đến xác thực.
Theo nghiên cứu của ESET mang tên 'Gorbag: Orcs at the border', được trình bày tại Virus Bulletin 2026, hoạt động của Gorbag đã diễn ra ít nhất từ tháng 2/2025. Nhóm tập trung vào các cơ quan thực thi pháp luật, tổ chức tư pháp, chính quyền địa phương và các đơn vị quốc phòng của Ukraine. Thay vì duy trì quyền kiểm soát từ xa trong thời gian dài, Gorbag sử dụng những công cụ nhỏ gọn, phục vụ việc thu thập thông tin nhanh chóng.
Các phát hiện của ESET cũng cho thấy mối liên hệ giữa công cụ đánh cắp dữ liệu GIFTEDCROOK từng được báo cáo trước đây với một chiến dịch gián điệp có quy mô lớn hơn. Nghiên cứu trước đó của Arctic Wolf đã ghi nhận quá trình phát triển của GIFTEDCROOK, từ công cụ đánh cắp thông tin đăng nhập trình duyệt sang khả năng thu thập tài liệu trong các chiến dịch liên quan đến nhóm UAC-0226.
Ban đầu, Gorbag chủ yếu sử dụng email lừa đảo có đính kèm bảng tính Excel chứa macro độc hại. Nội dung email thường xoay quanh các khoản phạt hành chính, vấn đề thuế hoặc thông báo liên quan đến quân sự nhằm tạo ra lý do thuyết phục để người nhận mở tệp. Trong một số trường hợp, email được gửi thông qua các tài khoản chính phủ Ukraine đã bị xâm nhập.
Khi macro được thực thi, mã VBA sẽ giải mã dữ liệu Base64 được nhúng trong các ô bảng tính, ghi mã độc BeautyStealer vào thư mục
Đầu năm 2026, nhóm chuyển sang sử dụng các tệp RAR được thiết kế để khai thác lỗ hổng CVE-2025-8088 trong WinRAR. Đây là lỗ hổng cho phép vượt qua giới hạn thư mục khi giải nén, lợi dụng các luồng dữ liệu thay thế (Alternate Data Streams) để đưa tệp độc hại ra ngoài thư mục mà người dùng đã chọn.
Trong phương thức tấn công này, một tệp PDF giả mạo được sử dụng để che giấu quá trình triển khai tải trọng mã hóa, trình tải PowerShell và một lối tắt Windows độc hại. Lối tắt được đặt trong thư mục Khởi động (Startup) của Windows, trong khi trình tải và dữ liệu mã hóa được lưu tại
Khi người dùng đăng nhập vào hệ thống ở lần tiếp theo, lối tắt sẽ gọi PowerShell để tải giai đoạn tiếp theo của mã độc. Cơ chế này giúp Gorbag duy trì khả năng thực thi mã độc sau khi người dùng đăng nhập, dù chiến dịch chủ yếu hướng đến việc thu thập dữ liệu trong thời gian ngắn thay vì thiết lập cửa hậu lâu dài.
ESET lần đầu phát hiện lỗ hổng CVE-2025-8088 trong các cuộc tấn công của RomCom vào tháng 7/2025. WinRAR 7.13, phát hành ngày 30/7/2025, đã khắc phục vấn đề này. Các phiên bản WinRAR dành cho Windows từ 7.12 trở xuống đều bị ảnh hưởng.
Tin nhắn email lừa đảo từ người gửi email bị xâm nhập (Nguồn: ESET).
Việc Gorbag tiếp tục khai thác lỗ hổng này cho thấy nhóm đang tận dụng một điểm yếu đã được vá, thay vì sử dụng một lỗ hổng zero-day mới.
Email lừa đảo được gửi từ tài khoản email đã bị xâm nhập (Nguồn: ESET).
Được viết bằng ngôn ngữ C++, BeautyStealer có khả năng thu thập cookie, mật khẩu đã lưu và dữ liệu hồ sơ trình duyệt từ Chrome, Edge, Opera và Firefox. Những thông tin này có thể cung cấp cho nhóm tin tặc dữ liệu phục vụ hoạt động tình báo và truy cập vào các tài khoản của nạn nhân.
BeautyStealer thu thập cấu hình OpenVPN cùng các tài liệu được lựa chọn từ những thư mục Desktop, Documents và Downloads. Phạm vi thu thập còn bao gồm các thiết bị lưu trữ di động và ổ đĩa mạng được ánh xạ.
Các mục tiêu cụ thể được ghi nhận gồm cơ sở dữ liệu KeePass, kho khóa Java, tệp cấu hình VPN và các tệp khóa chữ ký điện tử của Ukraine sử dụng phần mở rộng
Sau khi thu thập, dữ liệu sẽ được nén trước khi tải lên thông qua API
Qua các phiên bản từ 0.9 đến 2.0, BeautyStealer liên tục được bổ sung và cải tiến. Những thay đổi bao gồm khả năng thu thập tệp, cơ chế mã hóa chuỗi mạnh hơn, giao thức điều khiển được sửa đổi và việc bổ sung mã hóa RC4. Trong phiên bản mới nhất, mã độc cũng thay thế phương pháp dọn dẹp theo lô trước đây bằng các cơ chế xóa dựa trên API của Windows.
Phân tích của ESET cho thấy khoảng một phần tư số mục tiêu được xác định thuộc lĩnh vực tư pháp và thực thi pháp luật của Ukraine, trong khi phần còn lại chủ yếu là các cơ quan chính quyền địa phương.
Những nạn nhân khác bao gồm các tổ chức quốc phòng và một trung tâm vận tải hỗ trợ viện trợ quân sự nước ngoài. ESET đánh giá rằng việc lựa chọn các mục tiêu này có thể phục vụ hoạt động giám sát các cuộc điều tra, theo dõi công tác chuẩn bị phòng thủ tại địa phương và đánh giá thiệt hại từ các cuộc tấn công của Nga.
Trước BeautyStealer, Gorbag từng sử dụng Prime ReverseShell, một trình thông dịch lệnh PowerShell được đóng gói bằng PS2EXE. Một biến thể của công cụ này còn chứa các chỉ dẫn nhằm đánh lừa những người đánh giá sử dụng trí tuệ nhân tạo. Tuy nhiên, các thử nghiệm của ESET với phương thức này đã không thành công.
Các nhà nghiên cứu cũng nhận định Gorbag có thể cung cấp thông tin đăng nhập bị đánh cắp cho những đối tượng khác. Dù vậy, ESET chưa quan sát được các giai đoạn xâm nhập tiếp theo để xác nhận khả năng này.
Nhìn chung, những phát hiện về Gorbag cho thấy nhóm đang kết hợp nhiều phương thức phát tán mã độc, từ email lừa đảo chứa macro đến khai thác lỗ hổng trong phần mềm nén tệp. BeautyStealer được phát triển theo hướng thu thập nhanh chóng các dữ liệu có giá trị, đặc biệt là thông tin xác thực, tài liệu nội bộ và dữ liệu phục vụ hoạt động tình báo tại Ukraine.
Lưu ý: Các địa chỉ IP và tên miền trong danh sách chỉ báo đã được cố ý vô hiệu hóa, chẳng hạn bằng cách sử dụng
Theo nghiên cứu của ESET mang tên 'Gorbag: Orcs at the border', được trình bày tại Virus Bulletin 2026, hoạt động của Gorbag đã diễn ra ít nhất từ tháng 2/2025. Nhóm tập trung vào các cơ quan thực thi pháp luật, tổ chức tư pháp, chính quyền địa phương và các đơn vị quốc phòng của Ukraine. Thay vì duy trì quyền kiểm soát từ xa trong thời gian dài, Gorbag sử dụng những công cụ nhỏ gọn, phục vụ việc thu thập thông tin nhanh chóng.
Các phát hiện của ESET cũng cho thấy mối liên hệ giữa công cụ đánh cắp dữ liệu GIFTEDCROOK từng được báo cáo trước đây với một chiến dịch gián điệp có quy mô lớn hơn. Nghiên cứu trước đó của Arctic Wolf đã ghi nhận quá trình phát triển của GIFTEDCROOK, từ công cụ đánh cắp thông tin đăng nhập trình duyệt sang khả năng thu thập tài liệu trong các chiến dịch liên quan đến nhóm UAC-0226.
Ban đầu, Gorbag chủ yếu sử dụng email lừa đảo có đính kèm bảng tính Excel chứa macro độc hại. Nội dung email thường xoay quanh các khoản phạt hành chính, vấn đề thuế hoặc thông báo liên quan đến quân sự nhằm tạo ra lý do thuyết phục để người nhận mở tệp. Trong một số trường hợp, email được gửi thông qua các tài khoản chính phủ Ukraine đã bị xâm nhập.
Khi macro được thực thi, mã VBA sẽ giải mã dữ liệu Base64 được nhúng trong các ô bảng tính, ghi mã độc BeautyStealer vào thư mục
%ProgramData% và khởi chạy chương trình.Đầu năm 2026, nhóm chuyển sang sử dụng các tệp RAR được thiết kế để khai thác lỗ hổng CVE-2025-8088 trong WinRAR. Đây là lỗ hổng cho phép vượt qua giới hạn thư mục khi giải nén, lợi dụng các luồng dữ liệu thay thế (Alternate Data Streams) để đưa tệp độc hại ra ngoài thư mục mà người dùng đã chọn.
Trong phương thức tấn công này, một tệp PDF giả mạo được sử dụng để che giấu quá trình triển khai tải trọng mã hóa, trình tải PowerShell và một lối tắt Windows độc hại. Lối tắt được đặt trong thư mục Khởi động (Startup) của Windows, trong khi trình tải và dữ liệu mã hóa được lưu tại
%ProgramData%.Khi người dùng đăng nhập vào hệ thống ở lần tiếp theo, lối tắt sẽ gọi PowerShell để tải giai đoạn tiếp theo của mã độc. Cơ chế này giúp Gorbag duy trì khả năng thực thi mã độc sau khi người dùng đăng nhập, dù chiến dịch chủ yếu hướng đến việc thu thập dữ liệu trong thời gian ngắn thay vì thiết lập cửa hậu lâu dài.
ESET lần đầu phát hiện lỗ hổng CVE-2025-8088 trong các cuộc tấn công của RomCom vào tháng 7/2025. WinRAR 7.13, phát hành ngày 30/7/2025, đã khắc phục vấn đề này. Các phiên bản WinRAR dành cho Windows từ 7.12 trở xuống đều bị ảnh hưởng.
Tin nhắn email lừa đảo từ người gửi email bị xâm nhập (Nguồn: ESET).
Việc Gorbag tiếp tục khai thác lỗ hổng này cho thấy nhóm đang tận dụng một điểm yếu đã được vá, thay vì sử dụng một lỗ hổng zero-day mới.
Email lừa đảo được gửi từ tài khoản email đã bị xâm nhập (Nguồn: ESET).
Được viết bằng ngôn ngữ C++, BeautyStealer có khả năng thu thập cookie, mật khẩu đã lưu và dữ liệu hồ sơ trình duyệt từ Chrome, Edge, Opera và Firefox. Những thông tin này có thể cung cấp cho nhóm tin tặc dữ liệu phục vụ hoạt động tình báo và truy cập vào các tài khoản của nạn nhân.
Chiến dịch APT Gorbag mở rộng phạm vi thu thập dữ liệu nhạy cảm
Theo các nhà nghiên cứu ESET, Gorbag không chỉ tập trung vào dữ liệu trình duyệt mà còn mở rộng hoạt động thu thập sang nhiều loại tài liệu và thông tin có giá trị khác.BeautyStealer thu thập cấu hình OpenVPN cùng các tài liệu được lựa chọn từ những thư mục Desktop, Documents và Downloads. Phạm vi thu thập còn bao gồm các thiết bị lưu trữ di động và ổ đĩa mạng được ánh xạ.
Các mục tiêu cụ thể được ghi nhận gồm cơ sở dữ liệu KeePass, kho khóa Java, tệp cấu hình VPN và các tệp khóa chữ ký điện tử của Ukraine sử dụng phần mở rộng
.zs2. Những dữ liệu này cho thấy hoạt động của Gorbag vượt xa việc đánh cắp các tài liệu thông thường, hướng đến cả thông tin liên quan đến xác thực và quyền truy cập.Sau khi thu thập, dữ liệu sẽ được nén trước khi tải lên thông qua API
sendDocument của Telegram hoặc cơ sở hạ tầng HTTPS do kẻ tấn công kiểm soát, sử dụng FastAPI.Qua các phiên bản từ 0.9 đến 2.0, BeautyStealer liên tục được bổ sung và cải tiến. Những thay đổi bao gồm khả năng thu thập tệp, cơ chế mã hóa chuỗi mạnh hơn, giao thức điều khiển được sửa đổi và việc bổ sung mã hóa RC4. Trong phiên bản mới nhất, mã độc cũng thay thế phương pháp dọn dẹp theo lô trước đây bằng các cơ chế xóa dựa trên API của Windows.
Phân tích của ESET cho thấy khoảng một phần tư số mục tiêu được xác định thuộc lĩnh vực tư pháp và thực thi pháp luật của Ukraine, trong khi phần còn lại chủ yếu là các cơ quan chính quyền địa phương.
Những nạn nhân khác bao gồm các tổ chức quốc phòng và một trung tâm vận tải hỗ trợ viện trợ quân sự nước ngoài. ESET đánh giá rằng việc lựa chọn các mục tiêu này có thể phục vụ hoạt động giám sát các cuộc điều tra, theo dõi công tác chuẩn bị phòng thủ tại địa phương và đánh giá thiệt hại từ các cuộc tấn công của Nga.
Trước BeautyStealer, Gorbag từng sử dụng Prime ReverseShell, một trình thông dịch lệnh PowerShell được đóng gói bằng PS2EXE. Một biến thể của công cụ này còn chứa các chỉ dẫn nhằm đánh lừa những người đánh giá sử dụng trí tuệ nhân tạo. Tuy nhiên, các thử nghiệm của ESET với phương thức này đã không thành công.
Các nhà nghiên cứu cũng nhận định Gorbag có thể cung cấp thông tin đăng nhập bị đánh cắp cho những đối tượng khác. Dù vậy, ESET chưa quan sát được các giai đoạn xâm nhập tiếp theo để xác nhận khả năng này.
Nhìn chung, những phát hiện về Gorbag cho thấy nhóm đang kết hợp nhiều phương thức phát tán mã độc, từ email lừa đảo chứa macro đến khai thác lỗ hổng trong phần mềm nén tệp. BeautyStealer được phát triển theo hướng thu thập nhanh chóng các dữ liệu có giá trị, đặc biệt là thông tin xác thực, tài liệu nội bộ và dữ liệu phục vụ hoạt động tình báo tại Ukraine.
Chỉ báo xâm nhập (IOCs)
| SHA-1 | Tên tập tin | Phát hiện | Mô tả |
|---|---|---|---|
C17369B4B49113D07F080DF832E218156FB0940F | Không áp dụng | Win64/PSW.Agent.MA | Email lừa đảo có chủ đích |
A5E0A82BF6CC302A20D917235643B748F73FCC27 | Windows Telemetry | PowerShell/ReverseShell.OB | Prime ReverseShell |
E27E0D0A4B308F9B6B0469159931EB5E343E7FF8 | додаток податкова.xlsm | VBA/TrojanDropper.Agent.DAT | Tài liệu mồi XLS |
Lưu ý: Các địa chỉ IP và tên miền trong danh sách chỉ báo đã được cố ý vô hiệu hóa, chẳng hạn bằng cách sử dụng
[.], nhằm ngăn chặn việc phân giải tên miền hoặc tạo liên kết siêu văn bản ngoài ý muốn. Chỉ nên khôi phục các chỉ báo đã vô hiệu hóa trong những nền tảng tình báo mối đe dọa được kiểm soát như MISP, VirusTotal hoặc SIEM.
