ESET揭露親俄組織Gorbag利用釣魚郵件與WinRAR漏洞攻擊烏克蘭機構

資安業者ESET發布調查指出，親俄網路間諜組織Gorbag自2025年2月起針對烏克蘭多個關鍵機構發動攻擊，涵蓋政府、司法、執法與國防單位，甚至涉及外國軍援運輸節點。ESET研判其主要目的為蒐集俄烏戰爭相關情報。 在手法上，Gorbag常利用魚叉式釣魚郵件散布威脅，曾運用已遭入侵的地方政府信箱寄送惡意附件。2025年間，該組織多透過含惡意巨集的Excel檔案植入資訊竊取程式BeautyStealer；2026年初則改採WinRAR路徑穿越漏洞CVE-2025-8088，以特製RAR檔案在Windows啟動資料夾寫入捷徑，使惡意程式於重啟時執行。 BeautyStealer主要搜集瀏覽器儲存的密碼、Cookie、OpenVPN設定檔及特定文件，外傳後便自行刪除。ESET分析指出，該組織著重快速竊密而非長期潛伏，推測可能作為初始存取仲介者，將憑證提供給其他威脅團隊以利後續攻擊。

值得帶走的重點

• ESET指出親俄間諜組織Gorbag自2025年2月起鎖定烏克蘭政府、司法、國防及軍援運輸據點進行情報蒐集。
• 攻擊手法自2025年Excel惡意巨集演變至2026年初利用WinRAR漏洞CVE-2025-8088，透過壓縮檔植入開機啟動捷徑。
• 惡意程式BeautyStealer專門竊取瀏覽器憑證、Cookie、VPN組態與文件，完成資料外傳後即嘗試自我刪除。
• 研究人員推斷該組織以快速竊密為導向，可能扮演初始存取仲介者（IAB）將資料轉交其他威脅組織。