Gorbag APT group hits Ukrainian courts and city councils with self-deleting malware

La firma de se­gu­ri­dad ESET ha es­ta­do mo­ni­to­rean­do a un grupo de ci­ber­es­pio­na­je vin­cu­la­do a Rusia, co­no­ci­do como Gor­bag, el cual ha es­ta­do vul­ne­ran­do a en­ti­da­des ucra­nia­nas me­dian­te co­rreos de spearphishing y un pro­gra­ma ma­li­cio­so de robo de in­for­ma­ción que se borra de ma­ne­ra au­to­má­ti­ca tras ex­traer los datos. Las víc­ti­mas iden­ti­fi­ca­das se ubi­can ex­clu­si­va­men­te en te­rri­to­rio ucra­niano e in­clu­yen or­ga­nis­mos de jus­ti­cia, ad­mi­nis­tra­cio­nes lo­ca­les de zonas cer­ca­nas al fren­te de ba­ta­lla, en­ti­da­des del sec­tor de de­fen­sa y un cen­tro lo­gís­ti­co de ayuda mi­li­tar ex­tran­je­ra.

La me­to­do­lo­gía de in­tru­sión ha evo­lu­cio­na­do a lo largo del tiem­po. Du­ran­te el año pa­sa­do, los ata­can­tes uti­li­za­ron ar­chi­vos de Excel con ma­cros y se­ñue­los re­la­cio­na­dos con asun­tos ad­mi­nis­tra­ti­vos y tri­bu­ta­rios, lle­gan­do a em­plear una cuen­ta gu­ber­na­men­tal com­pro­me­ti­da para fa­ci­li­tar el ac­ce­so. Pos­te­rior­men­te, el me­ca­nis­mo cam­bió para apro­ve­char una vul­ne­ra­bi­li­dad de Win­RAR me­dian­te ar­chi­vos com­pri­mi­dos que mos­tra­ban un do­cu­men­to se­ñue­lo mien­tras de­po­si­ta­ban ar­chi­vos de ac­ce­so di­rec­to y pro­gra­mas de carga en el sis­te­ma para man­te­ner la per­sis­ten­cia.

El ins­tru­men­to prin­ci­pal de re­co­pi­la­ción em­plea­do por el grupo es un soft­wa­re de­no­mi­na­do BeautyS­tea­ler, el cual sus­trae cre­den­cia­les de na­ve­ga­do­res, con­fi­gu­ra­cio­nes de redes pri­va­das vir­tua­les y di­ver­sos ar­chi­vos de los equi­pos de los usua­rios, in­clu­yen­do lla­ves de ci­fra­do y for­ma­tos vin­cu­la­dos a fir­mas elec­tró­ni­cas ucra­nia­nas. Antes de uti­li­zar esta he­rra­mien­ta, los ope­ra­do­res re­cu­rrie­ron a una con­so­la in­ver­sa de Po­werShell ob­te­ni­da de un re­po­si­to­rio pú­bli­co, la cual in­cluía co­men­ta­rios di­ri­gi­dos a sis­te­mas de in­te­li­gen­cia ar­ti­fi­cial para in­ten­tar dis­fra­zar su na­tu­ra­le­za ma­li­cio­sa.