Gorbag: el nuevo grupo alineado con Rusia que recopila inteligencia de organizaciones ucranianas

Gor­bag es un actor de ame­na­zas vin­cu­la­do a Rusia que ha es­ta­do ac­ti­vo al menos desde fe­bre­ro de 2025, en­fo­can­do sus ata­ques de ma­ne­ra ex­clu­si­va en or­ga­ni­za­cio­nes ucra­nia­nas. Los ob­je­ti­vos pre­fe­ri­dos del grupo in­clu­yen or­ga­nis­mos de se­gu­ri­dad y jus­ti­cia, ad­mi­nis­tra­cio­nes lo­ca­les ubi­ca­das cerca de la línea del fren­te, y en­ti­da­des del sec­tor de de­fen­sa junto a un cen­tro lo­gís­ti­co clave para ayuda mi­li­tar. Esta se­lec­ción de blan­cos se ali­nea es­tre­cha­men­te con los in­tere­ses es­tra­té­gi­cos de in­te­li­gen­cia de Rusia en el marco de la gue­rra.

A di­fe­ren­cia de los gru­pos que bus­can man­te­ner ac­ce­sos per­sis­ten­tes me­dian­te im­plan­tes com­ple­jos, Gor­bag em­plea un en­fo­que ope­ra­ti­vo des­ti­na­do a la re­co­pi­la­ción rá­pi­da de in­for­ma­ción en una sola ope­ra­ción. Sus he­rra­mien­tas re­co­gen cre­den­cia­les de na­ve­ga­do­res, con­fi­gu­ra­cio­nes de VPN y do­cu­men­tos es­pe­cí­fi­cos antes de bo­rrar sus ras­tros, lo que su­gie­re que po­dría fun­cio­nar como un in­ter­me­dia­rio de ac­ce­so ini­cial que com­par­te datos con otros ac­to­res ma­li­cio­sos. Ini­cial­men­te, el grupo uti­li­za­ba co­rreos de spearphishing con ar­chi­vos ad­jun­tos ma­li­cio­sos y una shell in­ver­sa en Po­werShell, y pos­te­rior­men­te in­cor­po­ró un la­drón de datos en C++ lla­ma­do BeautyS­tea­ler y ar­chi­vos RAR di­se­ña­dos para ex­plo­tar una vul­ne­ra­bi­li­dad en Win­RAR.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las he­rra­mien­tas adi­cio­na­les, la evo­lu­ción de BeautyS­tea­ler ni las fases pos­te­rio­res de las ca­de­nas de in­tru­sión del grupo.