Rusya'yla uyumlu Gorbag, Ukrayna'da yargı kurumlarını ve cephe belediyelerini hedef alıyor

Güvenlik şirketi ESET, 3 Kasım’da yayımladığı raporda Rusya’yla uyumlu olarak değerlendirdiği ve Gorbag adını verdiği bir grubu anlattı. ESET’e göre grup en az Şubat 2025’ten beri etkin ve tespit edilen hedeflerinin hepsi Ukrayna’da. Grubun kullandığı GIFTEDCROOK adlı bilgi hırsızı daha önce de raporlara konu olmuştu, Ukrayna’nın siber olaylara müdahale ekibi CERT-UA bu aracı UAC-0226 olarak izlediği gruba bağlıyor. ESET’e göre ancak grubun hedefleri ve faaliyetinin bütünü bugüne kadar pek incelenmedi. ESET bulgularını 14 Ekim’de Virus Bulletin konferansında da sunmuştu.

Hedefler

ESET’e göre Gorbag’in hedeflerinin yaklaşık dörtte biri Ukrayna’daki kolluk ve yargı kurumları. ESET, bunun Ukrayna’nın Rus güçlerinin işlediği savaş suçlarını belgeleme ve kovuşturma çalışmalarını ve Ukrayna’daki Rus ajanlarını ve iş birlikçilerini belirlemeye yönelik soruşturmaları izleme amacı taşıyabileceğini değerlendiriyor. ESET’in verilerine göre grubun bir yargı kurumuna yönelik ilk faaliyeti Mart 2025 sonunda görüldü.

Hedeflerin yaklaşık bir başka dörtte biri, çoğu cephe hattına yakın bölgelerdeki belediyeler. ESET’e göre bu belediyeler Rus hava saldırılarının verdiği zararı raporluyor ve kritik altyapıdaki hasar ve onarım süreleri gibi bilgiler genelde kamuya açıklanmıyor. ESET, hedef alınan belediyelerin neredeyse hepsinin kampanya süresince Rus hava saldırılarına uğradığını belirtiyor ve grubun saldırıların etkisini ölçmeye ya da yerel savunma hazırlıklarını izlemeye yönelik bilgi topluyor olabileceğini değerlendiriyor. Kalan hedefler arasında savunma sektöründeki kurumlar ve yabancı askeri yardımın önemli bir aktarma merkezi olduğu kamuoyunda bilinen bir kurum var.

Saldırı yöntemi

ESET’e göre grup 2025 boyunca resmî ya da kamu konulu oltalama e-postaları gönderdi. E-postalarda idari para cezaları ya da vergiler gibi konular kullanıldı. ESET’in incelediği bir örnekte e-posta, Ukrayna’daki bir yerel yönetime ait ele geçirilmiş bir hesaptan gönderildi ve ekte makro içeren bir Excel dosyası (.xlsm) vardı. Makrolar çalıştırıldığında dosyanın hücrelerine gizlenmiş BeautyStealer zararlısı çözülüp çalıştırılıyordu.

ESET’e göre grup 2026 başında yöntemini değiştirdi ve WinRAR’daki CVE-2025-8088 açığını kullanan RAR arşivleri göndermeye başladı. ESET’in Ağustos 2025’te bildirdiği bu açık, özel hazırlanmış arşivdeki verilerin kullanıcının seçtiği klasörün dışına çıkarılmasına izin veriyor. ESET’e göre açık daha önce Rusya’yla uyumlu RomCom grubu tarafından sıfırıncı gün açığı olarak kullanılmıştı. Güncellenmemiş bir sistemde arşiv açıldığında ekranda yem bir PDF dosyası gösteriliyor, arka planda ise Windows’un başlangıç klasörüne bir kısayol dosyası (.lnk) ve %ProgramData% klasörüne şifreli bir zararlı ile bir PowerShell yükleyicisi bırakılıyor. Kısayol, bilgisayar her açıldığında yükleyiciyi çalıştırıyor.

Araçlar

ESET’e göre grubun ana aracı BeautyStealer adlı, C++ ile yazılmış bir bilgi hırsızı. Araç Chrome, Edge, Opera ve Firefox’taki çerezleri, kayıtlı parolaları ve tarayıcı bilgilerini, kullanıcı ve sistem klasörlerindeki OpenVPN yapılandırmalarını ve Masaüstü, Belgeler ve İndirilenler klasörleri ile çıkarılabilir diskler ve ağ sürücülerindeki belirli türde dosyaları topluyor. Hedeflenen dosyalar arasında Office belgeleri, arşivler, e-postalar, KeePass veritabanları (.kdbx), uzak masaüstü dosyaları (.rdp) ve .pfx sertifikaları var. ESET’e göre .zs2 uzantısı da özellikle aranıyor. Bu uzantı, Ukrayna’da yetkili bir sertifika merkezinin verdiği gizli elektronik imza anahtarlarını saklayan dosyalarda kullanılıyor.

Çalınan veriler sıkıştırılıp bir Telegram sohbetine ya da 1.2 sürümünden itibaren grubun kendi sunucusuna gönderiliyor. ESET’e göre BeautyStealer veriyi gönderdikten sonra kendini siliyor. Grup BeautyStealer’dan önce, GitHub’daki herkese açık bir projeden türetilen ve ESET’in Prime ReverseShell adını verdiği bir PowerShell aracıyla komut çalıştırıyordu. ESET’e göre bu aracın bir sürümünde, dosyayı inceleyen yapay zekâ asistanlarını ve güvenlik ürünlerini kodun zararsız olduğuna inandırmaya çalışan bir yorum satırı vardı. ESET bu yorumu iki farklı yapay zekâ asistanıyla denediğini, ikisinin de kanmadığını ve kodun ters kabuk (reverse shell) işlevini doğru tespit ettiğini belirtiyor.

ESET’e göre grubun uzun süreli erişim yerine bilgiyi tek seferde toplayıp çekilmesi, topladığı kimlik bilgilerini başka gruplara aktaran bir ilk erişim aracısı (initial access broker) olabileceğini düşündürüyor. ESET bu durumda Gorbag’in daha uzun bir saldırı zincirinin yalnızca ilk aşaması olabileceğini belirtiyor. ESET, saldırı göstergelerinin (IoC) tam listesini GitHub deposunda paylaştı.