- ESET Research heeft gerichte cyberaanvallen van Gorbag ontdekt die sinds februari 2025 plaatsvinden. De aanvallen richten zich vooral op Oekraïense organisaties in de buurt van de grens met Rusland.
- De doelwitten sluiten aan bij de strategische belangen van Rusland. Het gaat om politie- en justitieorganisaties, lokale overheden, de defensiesector en een belangrijk knooppunt voor buitenlandse militaire hulp.
- Gorbag verspreidt malware via gerichte phishingmails met schadelijke bijlagen.
- De groep richt zich op het eenmalig verzamelen van informatie in plaats van langdurige toegang tot systemen. Mogelijk verschaft Gorbag daarmee toegang voor andere pro-Russische hackersgroepen.
- Begin dit jaar paste Gorbag zijn aanvalsmethode aan. De groep maakt sindsdien misbruik van CVE-2025-8088, een kwetsbaarheid in WinRAR die ESET Research ontdekte en meldde.
Sliedrecht, 4 november 2026 – ESET Research heeft een pro-Russische cyberspionagegroep ontdekt die gegevens verzamelt bij Oekraïense organisaties in de buurt van het front. De groep, genaamd Gorbag, is sinds ten minste februari 2025 actief en richt zich uitsluitend op doelwitten in Oekraïne. De aanvallen sluiten nauw aan bij de Russische strategische belangen tijdens de oorlog.
"Gorbag gebruikt geen geavanceerde malware om langdurig toegang te houden tot systemen, maar eenvoudige hulpmiddelen om snel informatie te verzamelen. De groep steelt onder meer browsergegevens, VPN-configuraties en documenten. Daarna probeert de malware zichzelf te verwijderen", zegt ESET-onderzoeker Damien Schaeffer, die Gorbag ontdekte en onderzocht.
"Mogelijk verzamelt Gorbag deze gegevens om andere hackersgroepen toegang te geven tot getroffen systemen. Als dat klopt, is Gorbag alleen betrokken bij de eerste fase van een uitgebreidere aanval. De vervolgactiviteiten hebben we nog niet waargenomen", aldus Schaeffer.
Alle doelwitten die ESET identificeerde bevinden zich in Oekraïne. Ongeveer een kwart ervan zijn politie- en justitiële organisaties. De Oekraïense rechtspraak werkt aan strafzaken rond oorlogsmisdaden en heeft al enkele honderden aanklachten ingediend.
Nog eens een kwart bestaat uit lokale overheden, voornamelijk gemeenteraden in gebieden dicht bij het front. Mogelijk verzamelt Gorbag hier informatie over oorlogsschade en lokale defensie-initiatieven.
De overige doelwitten bevinden zich onder meer in de defensiesector. Hieronder valt ook een belangrijk transportknooppunt voor buitenlandse militaire hulp. Deze infrastructuur is eerder getroffen door Russische luchtaanvallen. Het zou kunnen dat Gorbag inzicht probeert te krijgen in zowel de schade als binnenkomende militaire leveringen.
In 2025 verspreidde Gorbag malware via gerichte phishingmails met schadelijke bijlagen. De berichten bevatten documenten met officiële onderwerpen, zoals administratieve boetes en belastingen. Vanaf het begin van dit jaar veranderde de aanvalsmethode. Gorbag begon schadelijke RAR-archieven te verspreiden die misbruik maken van CVE-2025-8088, een kwetsbaarheid in WinRAR. ESET Research meldde deze kwetsbaarheid in augustus 2025. Destijds maakte ook RomCom, een andere pro-Russische hackersgroep, er misbruik van als zero day.
Wanneer een slachtoffer het archief opent op een kwetsbaar systeem, verschijnt een misleidend PDF-bestand. Ondertussen plaatst de malware een LNK-bestand in de opstartmap van Windows, samen met een versleutelde payload en een PowerShell-loader.
Gorbag gebruikt twee belangrijke hulpmiddelen: Prime ReverseShell en BeautyStealer. Prime ReverseShell maakt het mogelijk om op afstand opdrachten uit te voeren. BeautyStealer verzamelt cookies, opgeslagen wachtwoorden en lokale gegevens uit Chrome, Edge, Opera en Firefox. Daarnaast steelt BeautyStealer OpenVPN-configuraties, Microsoft Office-documenten, archieven en e-mails. De malware doorzoekt onder meer de mappen Bureaublad, Documenten en Downloads, maar ook verwisselbare opslagmedia en gekoppelde netwerkstations.
ESET ontdekte bovendien een variant van Prime Reverse Shell met een commentaarregel die AI-assistenten en beveiligingssoftware probeert te misleiden. ESET testte deze techniek met twee AI-assistenten. Beide herkenden de schadelijke functionaliteit correct.
ESET Research presenteerde de bevindingen over Gorbag tijdens de Virus Bulletin-conferentie van 2026.
Meer technische informatie is beschikbaar in het ESET Research-artikel 'Gorbag: Orcs at the border harvesting intelligence from Ukraine' op WeLiveSecurity.com.Volg ESET Research op Twitter (X) en BlueSky voor de laatste updates.
Prime ReverseShell bevat een commentaarregel die AI-assistenten probeert te misleiden.
Over ESET®
ESET beschermt organisaties, kritieke infrastructuur en individuele gebruikers en helpt hen digitaal weerbaar te blijven en met vertrouwen te opereren in een wereld die steeds sterker door AI wordt gedreven. Met meer dan 35 jaar ervaring in cybersecurity, ruim 25 jaar innovatie op het gebied van AI en 11 R&D-centra wereldwijd ontwikkelt ESET eigen technologieën om bescherming te bieden tegen voortdurend veranderende cyberdreigingen en het bredere AI-ecosysteem te beveiligen. Vanuit een wetenschappelijk onderbouwde en preventieve benadering van cybersecurity biedt ESET effectieve en gebruiksvriendelijke bescherming, waarbij menselijke expertise en toezicht centraal blijven staan. ESET, een particuliere onderneming met hoofdkantoor in de Europese Unie, beschermt miljoenen gebruikers en meer dan 500.000 organisaties in 178 landen. Met een sterke focus op verantwoorde AI en het vertrouwen van klanten beschermt ESET de vooruitgang die technologie mogelijk maakt. Ga voor meer informatie naar www.eset.com/nl of volg ons op LinkedIn, Facebook,Instagram en X.
