Nhóm tin tặc Gorbag khai thác lỗ hổng WinRAR tấn công cơ quan chính phủ Ukraine

• Chiến dịch tấn công: Nhóm Gorbag nhắm mục tiêu vào các cơ quan chính phủ, thực thi pháp luật và quốc phòng Ukraine bằng mã độc BeautyStealer.
• Kỹ thuật khai thác: Sử dụng lỗ hổng path traversal CVE-2025-8088 trong WinRAR để thực thi mã độc thông qua các tệp tin lưu trữ giả mạo.
• Mục tiêu dữ liệu: Đánh cắp thông tin trình duyệt, cấu hình VPN, tệp tin chữ ký điện tử và các tài liệu nhạy cảm khác.
• Khuyến nghị: Cập nhật WinRAR lên phiên bản 7.13 trở lên để vá lỗi bảo mật nghiêm trọng này.

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công mạng tinh vi nhắm vào các cơ quan chính phủ và tổ chức tại Ukraine, được thực hiện bởi nhóm tin tặc có tên Gorbag. Hoạt động từ tháng 2 năm 2025, nhóm này tập trung vào việc đánh cắp thông tin xác thực, cấu hình VPN và các tài liệu quan trọng thông qua mã độc BeautyStealer.

Phân tích chiến dịch tấn công của Gorbag

Trong suốt năm 2025, Gorbag chủ yếu sử dụng các email lừa đảo (spearphishing) đính kèm tệp Excel độc hại. Các email này thường giả mạo các thông báo hành chính, thuế hoặc các vấn đề công vụ để đánh lừa nạn nhân. Đáng chú ý, một số email được gửi đi từ chính các hộp thư đã bị chiếm quyền điều khiển của các cơ quan chính phủ Ukraine, làm tăng độ tin cậy đối với người nhận.

Khi người dùng kích hoạt macro trong tệp Excel, một quy trình VBA sẽ giải mã nội dung độc hại được ẩn giấu trong các ô tính, sau đó lưu payload xuống đĩa và thực thi BeautyStealer. Kỹ thuật này tương tự như chiến dịch GIFTEDCROOK đã được ghi nhận trước đó, cho thấy sự kế thừa hoặc liên kết giữa các nhóm tấn công.

Khai thác lỗ hổng CVE-2025-8088

Đến đầu năm 2026, Gorbag đã thay đổi phương thức tấn công bằng cách sử dụng các tệp lưu trữ RAR độc hại khai thác lỗ hổng CVE-2025-8088. Đây là lỗ hổng path traversal trong WinRAR, cho phép kẻ tấn công ghi đè tệp tin vào các thư mục hệ thống ngoài phạm vi giải nén dự kiến.

Kẻ tấn công lợi dụng tính năng Alternate Data Streams của Windows để đặt mã độc vào thư mục Startup. Khi người dùng giải nén tệp RAR, một tệp PDF giả mạo sẽ được hiển thị để đánh lạc hướng, trong khi đó, một tệp shortcut và PowerShell loader được ghi vào hệ thống, đảm bảo mã độc tự động chạy mỗi khi máy tính khởi động.

BeautyStealer: Công cụ đánh cắp thông tin đa năng

Mã độc BeautyStealer được viết bằng C++ với khả năng thu thập dữ liệu cực kỳ hiệu quả. Nó nhắm vào mật khẩu, cookie và trạng thái trình duyệt của Chrome, Edge, Opera và Firefox. Ngoài ra, nó còn tìm kiếm các tệp cấu hình OpenVPN, cơ sở dữ liệu KeePass, tệp Java KeyStore và đặc biệt là các tệp khóa chữ ký điện tử của Ukraine.

Dữ liệu sau khi thu thập sẽ được nén và gửi về máy chủ của kẻ tấn công thông qua API của Telegram hoặc máy chủ FastAPI tùy chỉnh (từ phiên bản 1.2). Phiên bản 2.0 đã được nâng cấp với mã hóa RC4 và sử dụng trực tiếp Windows API để tự xóa dấu vết, thay thế cho các tập lệnh batch cũ.

Bảng tổng hợp chỉ số IOCs

⚠️ Cảnh báo quan trọng: Lỗ hổng CVE-2025-8088 đã được vá trong phiên bản WinRAR 7.13. Các tổ chức cần kiểm tra và cập nhật ngay lập tức để ngăn chặn vector tấn công này. Đồng thời, cần rà soát các tệp tin trong thư mục Startup và kiểm tra nhật ký truy cập mạng để phát hiện các kết nối bất thường tới các IP C2 đã nêu.

Để biết thêm chi tiết về các kỹ thuật tấn công và cách phòng thủ, các chuyên gia có thể tham khảo tài liệu từ WeLiveSecurity. Việc duy trì cảnh giác trước các tệp tin đính kèm không rõ nguồn gốc và áp dụng chính sách hạn chế thực thi macro là các biện pháp phòng thủ thiết yếu trong bối cảnh hiện nay.