تستهدف مجموعة التجسس الإلكتروني Gorbag، المتحالفة مع المصالح الروسية، إنفاذ القانون الأوكراني والحكومات المحلية ومنظمات الدفاع منذ فبراير 2025.
تستخدم المجموعة تكتيكات التصيّد الاحتيالي الموجّه، حيث تستخدم مرفقات خبيثة متنكرة في شكل مستندات رسمية لنشر البرمجيات الخبيثة. وقد استغلت الهجمات الأخيرة ثغرة في WinRAR (CVE-2025-8088) لنشر برمجياتهم الخبيثة.
أداة Gorbag الرئيسية لسرقة المعلومات، BeautyStealer، تجمع البيانات من متصفحات الويب ومصادر أخرى. كما تتضمن مجموعة أدواتهم قشرة عكسية PowerShell تسمى Prime ReverseShell وبرمجية لسرقة المعلومات مكتوبة بلغة C/C++ تسمى GIFTEDCROOK. تسهل هذه الأدوات تركيز المجموعة على جمع المعلومات لمرة واحدة.
حوالي ربع أهداف Gorbag هي مؤسسات إنفاذ القانون والقضاء الأوكرانية. وربع آخر من أهداف المجموعة هي الإدارات المحلية، ومعظمها مجالس المدن في المناطق القريبة من خط المواجهة.
أكدت شركات الأمن السيبراني، بما في ذلك ESET وTrend Micro، عمليات Gorbag. قد تعمل المجموعة كوسيط للوصول الأولي، مما يتيح مشاركة البيانات المسروقة مع جهات تهديد أخرى لمزيد من الاستغلال.