Skupina Gorbag krade data ukrajinským úřadům u fronty a zneužívá starou chybu WinRAR

Co se stalo

ESET Research 3. listopadu 2026 zveřejnil rozbor skupiny, kterou pojmenoval Gorbag. Výsledky předtím 14. října představil na konferenci Virus Bulletin. Skupinu označuje za spojenou s Ruskem a vysoce cílené útoky od ní zachytil od února 2025. Všechny zjištěné oběti jsou na Ukrajině, mnohé blízko rusko-ukrajinské hranice a fronty.

Podle ESET zhruba čtvrtinu cílů tvoří ukrajinská justice a policie, další čtvrtinu městské rady v oblastech u fronty (téměř všechna tato města v době kampaně zasáhly ruské nálety) a zbytek obranný sektor a logistika, včetně veřejně známého překladiště zahraniční vojenské pomoci. Část nástrojů – kradač GIFTEDCROOK – už dřív popsal ukrajinský CERT-UA, který ho připisuje skupině UAC-0226.

Jak útok probíhá

Vstup. E-maily používají úřední témata – pokuty a daně – a často chodí z napadených schránek ukrajinských samospráv, aby působily důvěryhodně. V roce 2025 šlo o tabulky .xlsm: po povolení maker se z buněk dekódovaly programy, uložily do %ProgramData% a spustily.

CVE-2025-8088. Od začátku roku 2026 posílá Gorbag archivy RAR, které zneužívají chybu typu path traversal ve WinRAR pro Windows. Podle výrobce může útočník připraveným archivem zapsat soubor mimo složku, kterou uživatel pro rozbalení zvolil. Oběť vidí návnadu v PDF, zatímco archiv uloží zástupce .lnk do složky Po spuštění a do %ProgramData% šifrovaný program a zavaděč PowerShell. Při dalším přihlášení se zavaděč spustí. NVD chybu hodnotí CVSS 3.1 skóre 8,8.

Nástroje.

ESET upozorňuje, že skupina nesbírá dlouhodobý přístup, ale jednorázově vytěží, co najde, a uklidí po sobě. To podle něj může znamenat roli zprostředkovatele přístupu pro další skupiny.

Koho se to týká

Přímo ukrajinských státních, justičních a obranných organizací. Chyba WinRAR ale funguje proti komukoli s WinRAR, RAR nebo UnRAR pro Windows, UnRAR.dll či přenosným UnRAR ve verzi starší než 7.13. Verze pro Linux, Unix a Android dotčené nejsou. Oběti v Česku nebo na Slovensku ESET neuvádí; pozornost by měly zbystřit organizace, které s ukrajinskými úřady spolupracují.

Jak poznat napadení

Indikátory z článku ESET (síťové zneškodněné, otisky SHA-1):

C17369B4B49113D07F080DF832E218156FB0940F   e-mail s přílohou (Win64/PSW.Agent.MA)
A5E0A82BF6CC302A20D917235643B748F73FCC27   Windows Telemetry – Prime ReverseShell
E27E0D0A4B308F9B6B0469159931EB5E343E7FF8   додаток податкова.xlsm – návnada XLS
0589D2079FBEF814DC7BB95C4B3B555C8B933AF6   Повідомлення 4726-49.rar – škodlivý archiv
89.44.9[.]186     C&C Prime ReverseShell (poprvé 2025-03-28)
142.111.194[.]73  exfiltrační server BeautyStealer (poprvé 2026-06-02)

Úplný seznam je v repozitáři ESET malware-ioc. Naše tipy k hledání vycházejí z popisu ESET:

• Nové soubory .lnk ve složce Po spuštění, které spouštějí PowerShell, a nečekané skripty nebo šifrované soubory v %ProgramData%.
• Spojení na uvedené IP adresy a odchozí provoz na Telegram API z počítačů, kde Telegram nikdo nepoužívá.
• Procesy, které hromadně čtou profily prohlížečů a soubory OpenVPN a pak zmizí.

Indikátory z logů vytáhne náš IOC extraktor a podezřelé přílohy porovnáte hash kalkulačkou – obojí běží jen ve vašem prohlížeči.

Co udělat

1. Aktualizujte WinRAR na verzi 7.13 nebo novější na všech počítačích s Windows. Verzi zjistíte v nabídce Nápověda → O programu WinRAR; nezapomeňte na UnRAR.dll vestavěný v jiných programech.
2. Zablokujte makra v souborech z internetu a e-mailu (zásady Office) a archivy z pošty kontrolujte v izolovaném prostředí.
3. Hledejte indikátory v EDR, proxy a firewallu, i zpětně.
4. Při nálezu změňte hesla uložená v prohlížečích, zneplatněte relace a cookies, vyměňte konfigurace VPN a certifikáty .pfx a hlaste incident NÚKIB (na Slovensku SK-CERT).

Časová osa