ESET تكشف عن Gorbag: تهديد سيبراني موالٍ لروسيا يستهدف أوكرانيا

كشف باحثو ESET عن فاعل تهديد موالٍ لروسيا يُدعى Gorbag، ينشط منذ فبراير 2025 على الأقل. تستهدف هذه المجموعة منظمات أوكرانية في المقام الأول، لا سيما في إنفاذ القانون والإدارات المحلية قرب خط المواجهة وقطاع الدفاع.

تستخدم Gorbag مجموعة أدوات محدودة مصممة لجمع المعلومات الاستخباراتية بسرعة بدلاً من أساليب الوصول المتقدمة طويلة الأمد. وتعتمد المجموعة على برمجية خبيثة تُعرف باسم GIFTEDCROOK، المنسوبة إلى UAC-0226، لسرقة بيانات اعتماد المتصفح وإعدادات VPN ومستندات مختارة في تمريرة واحدة. ثم صُممت البرمجية الخبيثة لتحذف نفسها بعد جمع البيانات.

من التفسيرات المحتملة لأسلوب Gorbag التشغيلي دورها كوسيط وصول أولي، إذ تشارك البيانات المجمعة مع فاعلي تهديد آخرين لاستغلالها لاحقاً. ويتوافق ذلك مع أولويات الاستخبارات الاستراتيجية الروسية خلال الصراع المستمر.

عُرضت نتائج البحث المتعلقة بـ Gorbag في مؤتمر Virus Bulletin في 14 أكتوبر 2026، ويتوفر تحليل تقني مفصل في ورقة ESET البيضاء بعنوان «Gorbag: Orcs at the border».

الاستهداف وضحايا الهجمات

تقع جميع الأهداف المحددة لـ Gorbag في أوكرانيا، وتركز على ثلاثة مجالات رئيسية تعكس اهتمامات الاستخبارات الروسية في زمن الحرب. نحو 25% من أهداف المجموعة منظمات حكومية تعمل في إنفاذ القانون والعدالة. ويتسق هذا التركيز مع تقارير سابقة عن محاولات فاعلي تهديد موالين لروسيا اختراق كيانات أوكرانية في إنفاذ القانون.

تشمل الدوافع وراء هذه الهجمات على الأرجح مراقبة الجهود الرامية إلى توثيق جرائم الحرب التي ترتكبها القوات الروسية ومحاكمة مرتكبيها، والحصول على معلومات عن التحقيقات التي تستهدف أصولاً روسية داخل أوكرانيا. وقد سُجل نشاط Gorbag الأول ضد كيان قضائي أوكراني في أواخر مارس 2025.

وتتكون نسبة 25% أخرى من أهداف Gorbag من كيانات حكومية محلية، معظمها مجالس مدن قرب خط المواجهة. وتتولى هذه المجالس الإبلاغ عن الأضرار الناجمة عن الضربات الجوية الروسية والإشراف على مبادرات الدفاع المحلية، ما يجعلها مصادر معلومات قيّمة للقيادة العسكرية الروسية.

وتشمل الأهداف المتبقية كيانات مختلفة في قطاع الدفاع ومركز نقل رئيسياً للمساعدات العسكرية الأجنبية، ما يشير إلى اهتمام Gorbag بتقييم الأضرار ومراقبة الإمدادات العسكرية.

الأساليب التشغيلية والأدوات

تعتمد عمليات Gorbag على مجموعة أدوات مباشرة. استخدمت المجموعة في البداية رسائل تصيد احتيالي موجهة بمرفقات خبيثة، غالباً ما تتنكر في هيئة مستندات رسمية. وهدفت هذه الرسائل إلى خداع المستلمين لتمكين وحدات الماكرو في جداول Excel، ما يؤدي إلى تنفيذ حمولة تُعرف باسم BeautyStealer، أداة المجموعة الرئيسية لجمع البيانات.

وفي أوائل 2026، حوّلت Gorbag سلسلة الاختراق لاستغلال CVE-2025-8088، وهي ثغرة اجتياز مسار في WinRAR. وأتاح هذا التغيير للمجموعة إرسال أرشيفات RAR مسلحة تستخرج البيانات خارج الدليل الذي اختاره المستخدم عند فتحها على أنظمة مصابة.

تستهدف BeautyStealer، وهي أداة سرقة بيانات المتصفح والملفات مكتوبة بلغة C++، أنواعاً متعددة من الملفات وبيانات الاعتماد المخزنة في المتصفحات. وقد تطورت عبر عدة إصدارات، معززة قدراتها وأساليب تسريب البيانات. تُضغط البيانات المسروقة وتُرسل إلى محادثة Telegram يتحكم بها المهاجم أو إلى خادم قيادة وتحكم مخصص.

يشير تركيز Gorbag على جمع المعلومات قصير الأمد، بدلاً من الحفاظ على وصول طويل الأمد، إلى نهج استراتيجي في التجسس السيبراني يفضل جمع المعلومات الاستخباراتية الفوري على السيطرة المستمرة على الأنظمة المخترقة.

يتوفر التحليل المفصل لعمليات Gorbag، بما في ذلك تطور BeautyStealer وسلسلة الاختراق الخاصة بها، في ورقة ESET البيضاء «Gorbag: Orcs at the border».

المصدر: ESET WeLiveSecurity