🔍 Contexte

Cet article est une publication de recherche présentée par Damien Schaeffer (ESET Canada) à la conférence Virus Bulletin en octobre 2026. Il documente en détail un nouveau groupe d’espionnage cyber nommé Gorbag, identifié par ESET et actif depuis au moins février 2025 contre des cibles ukrainiennes.

🎯 Victimologie

Gorbag cible exclusivement des entités ukrainiennes, réparties en trois catégories principales :

  • ~25% organisations judiciaires et forces de l’ordre (surveillance des enquêtes sur crimes de guerre russes)
  • ~25% administrations locales (conseils municipaux en zones frontalières, évaluation des dommages de frappes aériennes)
  • ~50% secteur défense (notamment fabricants de drones) et autres entités dont un hub de transit d’aide militaire étrangère

⚙️ Chaînes de compromission

Chaîne 2025 :

  • Spear-phishing depuis des comptes légitimes compromis (ex : administration de la région d’Uzhgorod)
  • Pièces jointes Excel macro-enabled (.xlsm) avec thèmes administratifs/fiscaux
  • Macro VBA (Workbook_Open) décodant un payload Base64 depuis les cellules et déposant BeautyStealer dans %ProgramData%

Chaîne 2026 :

  • Archives RAR weaponisées exploitant CVE-2025-8088 (path traversal WinRAR)
  • Extraction de fichiers hors du répertoire cible via alternate data streams
  • Dépôt d’un fichier LNK dans le dossier Startup (persistance), d’un payload chiffré (SNLk) et d’un loader PowerShell (W8d)
  • Commande : cmd.exe /c start /min "" powershell -NoP -W Hidd -Exec Bypass -C ...

🛠️ Arsenal malveillant

Prime ReverseShell :

  • Reverse shell PowerShell compilé via PS2EXE dans un binaire .NET
  • Connexion TCP vers C2 sur port élevé
  • Délai initial de 2 ou 8 minutes (évasion sandbox)
  • IP C2 obfusquées (remplacement de . et : par d’autres caractères)
  • Inspiré du dépôt GitHub PSSW100AVB
  • Certaines versions incluent un commentaire trompeur pour leurrer les IA de sécurité

BeautyStealer (versions 0.9 à 2.0) :

  • Infostealer C++ ciblant Chrome, Edge, Opera, Firefox
  • Vol de cookies, mots de passe, configurations OpenVPN
  • Capacités de vol de fichiers (Desktop, Documents, Downloads) à partir de la v1.1
  • Exfiltration via API Telegram (sendDocument) ou serveur C2 custom (FastAPI, HTTPS POST)
  • Évolution du chiffrement : XOR simple (v1.1) → XOR complexe (v1.2) → RC4 (v2.0)
  • Mécanisme d’auto-suppression : script BAT (v1.x) puis appel direct DeleteFile/CreateProcessW (v2.0)
  • Noms de fichiers observés : Infomaster, PhoneInfo, HomeLibrary, infohost, audiolib, SNLk, tQUD

📋 Caractéristiques opérationnelles

  • Objectif : collecte d’information ponctuelle (one-time data theft), sans persistance long terme
  • Auto-destruction post-exfiltration pour entraver l’investigation forensique
  • Possible rôle d’initial access broker partageant des credentials avec d’autres groupes

📄 Nature de l’article

Publication de recherche CTI présentée en conférence académique, visant à documenter les TTPs, l’infrastructure et l’évolution des malwares d’un nouveau groupe APT russo-aligné pour contribuer au suivi des acteurs de menace est-européens émergents.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • Gorbag (state-sponsored) —

TTP

  • T1566.001 — Phishing: Spearphishing Attachment (Initial Access)
  • T1078 — Valid Accounts (Initial Access)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.005 — Command and Scripting Interpreter: Visual Basic (Execution)
  • T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
  • T1497.003 — Virtualization/Sandbox Evasion: Time Based Evasion (Defense Evasion)
  • T1555.003 — Credentials from Password Stores: Credentials from Web Browsers (Credential Access)
  • T1005 — Data from Local System (Collection)
  • T1560 — Archive Collected Data (Collection)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1567 — Exfiltration Over Web Service (Exfiltration)
  • T1203 — Exploitation for Client Execution (Execution)
  • T1218.011 — System Binary Proxy Execution: Rundll32 (Defense Evasion)

IOC

  • SHA256 : bc77054ea7d262fcccde9d6f1df122c1b700b0699679217d1b15ea6570ec3f2c — VT · MalwareBazaar
  • SHA256 : 9ce0f41d6e575aca81d290b3d0b89b011da4f9b87276b27d1c7de81695d4c927 — VT · MalwareBazaar
  • SHA256 : 583754e5e682ea83d58fbf76ea5c82ea0f2ab5db06e9e52343c4d52f35f0a4a6 — VT · MalwareBazaar
  • CVEs : CVE-2025-8088 — NVD · CIRCL
  • Fichiers : додаток податкова.xlsm
  • Fichiers : овідомлення 4726-49.rar
  • Fichiers : x3U_F_q1KeVOd3_.lnk
  • Fichiers : W8d
  • Fichiers : SNLk
  • Fichiers : Infomaster
  • Fichiers : PhoneInfo
  • Fichiers : HomeLibrary
  • Fichiers : infohost
  • Fichiers : audiolib
  • Fichiers : tQUD
  • Chemins : C:\ProgramData\W8d
  • Chemins : C:\ProgramData\SNLk
  • Chemins : %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\x3U_F_q1KeVOd3_.lnk
  • Chemins : C:\ProgramData\<name>\<name>

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 7 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • BeautyStealer (stealer)
  • Prime ReverseShell (backdoor)

🟢 Indice de vérification factuelle : 100/100 (haute)

  • ✅ welivesecurity.com — source reconnue (liste interne) (20pts)
  • ✅ 24316 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 19 IOCs dont des hashes (15pts)
  • ✅ 3/3 IOCs confirmés (MalwareBazaar, ThreatFox, VirusTotal) (15pts)
  • ✅ 16 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Gorbag (5pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • bc77054ea7d262fc… (sha256) → VT (31/76 détections)
  • 9ce0f41d6e575aca… (sha256) → VT (33/76 détections)
  • 583754e5e682ea83… (sha256) → VT (29/76 détections)

🔗 Source originale : https://www.welivesecurity.com/en/eset-research/gorbag-orcs-border-harvesting-intelligence-ukraine/