ESET 研究人員揭露其命名為 Gorbag 的親俄威脅組織，指其至少自 2025 年 2 月起僅針對烏克蘭目標，偏好執法與司法單位、前線附近地方政府及國防部門，並鎖定一處外國軍援物資的重要運輸樞紐 [1]。該組織以魚叉式網路釣魚郵件夾帶惡意附件散布 Prime ReverseShell 與資料竊取程式 BeautyStealer，2026 年初改為利用 WinRAR 路徑穿越漏洞 CVE-2025-8088，iThome 報導其曾利用遭入侵的烏克蘭地方政府郵件帳號寄送惡意附件 [1][2]。資安團隊可使用 ESET 在 GitHub 公開的入侵指標（IoC）與樣本清單比對環境中是否有相關活動 [1]。
中進行中研究者揭露
ESET 揭露 Gorbag 以魚叉郵件與 WinRAR 漏洞 CVE-2025-8088 竊取烏克蘭政府與國防單位資料
閱讀約 1 分鐘
- 揭露
- 2026年11月3日
- 發布
- 2026年11月11日
- 最後更新
- 2026年11月10日
- CVSS 依據
- 本站評估
- 技術 / 系統類型
- 初始入侵方式
- 影響
- 攻擊者類型
- 動機
本頁內容
30 秒摘要
事件時間軸
技術細節
發生什麼
ESET 於 11 月 3 日發表研究，揭露親俄威脅組織 Gorbag；ESET 表示該組織部分工具（GIFTEDCROOK 程式，CERT-UA 將其歸於 UAC-0226）先前曾出現在公開報告中，但其鎖定對象與整體活動少有人研究 [1]。
攻擊手法
Gorbag 以官方或政府主題（如行政罰款、稅務）的魚叉式郵件夾帶惡意附件，ESET 發現一例由遭入侵的烏克蘭地方政府郵件帳號寄出 [1]。iThome 報導，攻擊者 2025 年在 Excel 附件植入惡意巨集執行 BeautyStealer，2026 年初改用特製 RAR 壓縮檔利用 CVE-2025-8088，將惡意捷徑寫入 Windows 啟動資料夾 [2]。BeautyStealer 會竊取瀏覽器憑證、Cookie、OpenVPN 組態與特定文件，外傳後嘗試自我刪除 [1][2]。
研究人員評估
ESET 表示 Gorbag 著重一次性情報蒐集而非長期控制，可能扮演初始存取仲介者，將取得的憑證提供給其他親俄威脅組織進行後續攻擊 [1]。
修復指引
參考來源
研究機構1
- [1]
“In early 2026, Gorbag updated its compromise chain to abuse CVE-2025-8088, a WinRAR path traversal vulnerability discovered and reported by ESET Research.”
媒體報導1
- [2]
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。