Alineados con Rusia, rastreados como Gorbag, están explotando una vulnerabilidad de WinRAR para robar credenciales de navegador, configuraciones de VPN y documentos sensibles de organizaciones ucranianas.

Activo al menos desde febrero de 2025, el grupo tiene como objetivo agencias gubernamentales, cuerpos de seguridad, instituciones judiciales, administraciones locales cercanas a la línea del frente y organizaciones de defensa.

La campaña prioriza el robo rápido de datos sobre el control remoto prolongado. Su malware recopila información en una sola pasada, envía los resultados a una infraestructura controlada por el atacante y luego intenta eliminarse a sí mismo.

Los investigadores creen que las credenciales robadas podrían facilitar futuras intrusiones de otros grupos, aunque esa posible relación sigue sin confirmarse.

Los investigadores de ESET escribiendo en WeLiveSecurity identificaron el malware principal del grupo como BeautyStealer, un robador de información en C++, junto con una herramienta anterior llamada Prime ReverseShell.

Su informe del 3 de noviembre conecta la actividad de GIFTEDCROOK reportada previamente, atribuida por CERT-UA a UAC-0226, con una operación de recopilación de inteligencia más amplia contra objetivos ucranianos.

Gorbag explotan una vulnerabilidad de WinRAR

A lo largo de 2025, Gorbag utilizó principalmente correos electrónicos de phishing dirigidos que contenían adjuntos de Excel maliciosos. Los mensajes hacían referencia a asuntos gubernamentales rutinarios, incluyendo multas administrativas e impuestos.

Al menos un mensaje provino de un buzón de correo electrónico comprometido de un gobierno local ucraniano, dando a los destinatarios otra razón para confiar en el adjunto.

Estos ataques se parecen a la campaña de robo de credenciales de navegador de GIFTEDCROOK documentada previamente, que también utilizaba hojas de cálculo con cargas útiles ocultas.

Cuando se ejecutaban las macros, una rutina de VBA decodificaba el contenido malicioso almacenado dentro de las celdas de la hoja de cálculo, guardaba la carga útil en el disco e iniciaba BeautyStealer. El proceso dependía de que las víctimas habilitaran las macros o tuvieran configuraciones que permitieran su ejecución.

A principios de 2026, Gorbag cambió a archivos RAR maliciosos que explotan la vulnerabilidad CVE-2025-8088. Esta vulnerabilidad de salto de ruta (path traversal) de WinRAR permite que el contenido de un archivo especialmente diseñado escape de la carpeta seleccionada para la extracción.

Los atacantes abusan de los flujos de datos alternativos (ADS), una característica de archivos de Windows, para colocar archivos maliciosos en otros lugares del sistema. El fallo ya había aparecido en los ataques de phishing de RomCom WinRAR antes de que Gorbag lo adoptara.

En la cadena de Gorbag, la extracción del archivo presenta un PDF señuelo mientras planta un acceso directo en la carpeta de inicio de Windows. Una carga útil cifrada y un cargador de PowerShell también se escriben en el disco, y el acceso directo activa el cargador durante los siguientes inicios del sistema.

Aproximadamente una cuarta parte de los objetivos identificados fueron organizaciones judiciales o policiales. Otra cuarta parte fueron organismos gubernamentales locales, principalmente ayuntamientos cercanos a la línea del frente.

Los investigadores sugieren que estos objetivos podrían proporcionar información sobre investigaciones de crímenes de guerra, daños a la infraestructura e iniciativas de defensa local. Estas explicaciones siguen siendo evaluaciones y no objetivos confirmados.

BeautyStealer recopila datos del navegador, documentos y claves privadas

BeautyStealer recopila contraseñas guardadas, cookies y el estado del navegador de Chrome, Edge, Opera y Firefox.

También busca configuraciones de OpenVPN y archivos seleccionados en las carpetas de Escritorio, Documentos y Descargas, medios extraíbles y unidades de red mapeadas. Por lo tanto, su alcance se extiende más allá de las credenciales del navegador hacia registros organizativos potencialmente sensibles.

El patrón general coincide con informes anteriores sobre el robo de credenciales de WinRAR por parte de Rusia dirigido a organizaciones ucranianas. ESET descubrió que BeautyStealer también busca bases de datos de KeePass, archivos de Java KeyStore, configuraciones de Escritorio Remoto y contenedores de certificados.

Son particularmente notables los archivos de claves de firma electrónica ucranianas, que contienen claves secretas emitidas por centros de certificación acreditados.

La información recopilada se comprime antes de ser enviada a través de la API sendDocument de Telegram o, a partir de la versión 1.2, a un servidor personalizado utilizando FastAPI. La versión 2.0 introdujo el cifrado RC4 y reemplazó la limpieza anterior mediante scripts batch por llamadas directas a la API de Windows para la autodelación.

ESET rastreó versiones desde la 0.9 hasta la 2.0. Los hallazgos refuerzan la necesidad de desplegar el parche de seguridad de WinRAR en todos los sistemas Windows afectados. La vulnerabilidad fue corregida en la versión 7.13.

Actualizar las instalaciones vulnerables elimina este punto de entrada, pero las organizaciones que investiguen un posible compromiso también deberían examinar los indicadores publicados y considerar si las credenciales o los archivos sensibles ya fueron expuestos.