Gorbag cancella lo stealer, ma lascia credenziali riutilizzabili
All’inizio del 2026, Gorbag ha affiancato agli allegati Excel archivi RAR malevoli per colpire organizzazioni ucraine sfruttando CVE-2025-8088. ESET riferisce che la campagna prende di mira enti giudiziari e di polizia, amministrazioni locali, difesa e trasporti.
La falla di WinRAR permette all’archivio di depositare un file nascosto fuori dalla cartella scelta per l’estrazione. Dopo aver raccolto credenziali dei browser, configurazioni VPN e documenti selezionati, lo stealer tenta di cancellarsi. Gli allegati imitano comunicazioni ordinarie del governo; in un caso, l’esca proveniva da un account compromesso di un’amministrazione locale.
La patch di WinRAR chiude questa via d’ingresso, ma non chiarisce se credenziali e documenti siano già stati sottratti. Se le credenziali vengono passate a un altro attore, l’accesso può proseguire anche dopo la scomparsa del malware.
CVSS 8.8 HIGH: a path traversal vulnerability affecting the Windows version of WinRAR allows the attackers to execute arbitrary code by crafting malicious archive files. EPSS 94% (100º percentile).
Data di correzione federale CISA 2 set · data superata
Russia-linked cyber spies target Ukraine's war crimes investigations, military aid routes
The hackers use relatively simple malware to steal sensitive documents, login credentials and other information from Ukrainian organizations, particularly those near the front line and the Russian border.