ESET dio a conocer este 3 de noviembre una investigación sobre Gorbag, un grupo de ciberespionaje alineado con Rusia que ataca a dependencias gubernamentales, organizaciones de defensa e infraestructura de transporte de ayuda militar en Ucrania. Según The Record, opera desde al menos febrero de 2025 y busca robar información rápidamente, en lugar de quedarse durante meses dentro de las redes comprometidas.

📊 Alrededor de una cuarta parte de sus objetivos conocidos son instituciones policiales y judiciales; otra cuarta parte son gobiernos locales, principalmente ayuntamientos cercanos al frente. ESET considera que los ataques podrían buscar información sobre investigaciones de presuntos crímenes de guerra rusos y la identificación de operativos y colaboradores de Rusia dentro de Ucrania. Los gobiernos locales también reúnen evaluaciones no públicas de daños a infraestructura y tiempos estimados de reparación, datos que podrían servir para medir el resultado de los ataques rusos o conocer actividades de reclutamiento, entrenamiento militar y defensa civil.

🚀 Entre los blancos también hay organizaciones de defensa y un importante centro de transporte de asistencia militar extranjera, cuyo nombre ESET no reveló y que ya había sufrido ataques aéreos rusos. Los investigadores plantean que Gorbag podría buscar detalles sobre suministros militares entrantes y daños a la infraestructura de transporte. En general, sus objetivos se concentran especialmente cerca del frente y de la frontera rusa.

🔒 La puerta de entrada habitual son correos de phishing con archivos adjuntos que aparentan ser documentos oficiales sobre multas administrativas o impuestos. Al abrirlos, la víctima puede exponer contraseñas guardadas en el navegador, cookies, configuraciones de VPN y archivos seleccionados, incluidos documentos de Microsoft Office, registros de correo y archivos comprimidos.

🛠️ Su herramienta principal, BeautyStealer, busca archivos en la computadora, dispositivos de almacenamiento extraíbles y unidades de red conectadas; después de enviar lo robado, intenta borrarse. Gorbag también utiliza Prime ReverseShell, adaptada de código disponible públicamente, para ejecutar comandos a distancia en los equipos comprometidos. Aunque sus herramientas son relativamente sencillas, ESET destaca la precisión de sus objetivos y considera que sus operaciones buscan contribuir a las metas estratégicas rusas en la guerra.

Una falla corregida también puede seguir siendo una puerta de entrada

A principios de 2026, Gorbag empezó a aprovechar CVE-2025-8088, una vulnerabilidad de WinRAR que permite ejecutar código malicioso al abrir un archivo comprimido preparado para ello. La falla había sido corregida en julio de 2025 y ya había sido explotada por RomCom, otro grupo alineado con Rusia y vinculado con ciberdelincuencia y espionaje. Para quienes administran equipos, el caso pone el foco en un programa cotidiano: abrir un archivo comprimido puede ser parte de la intrusión, no sólo un paso previo.

ESET plantea además que el robo rápido de documentos y credenciales podría servir para entregarlos a otros grupos que realizarían intrusiones posteriores, pero esa cooperación no está confirmada. La firma prevé que grupos como Gorbag seguirán amenazando a las instituciones gubernamentales, judiciales y de defensa ucranianas mientras continúe la guerra.

💬 ¿Cómo controla tu equipo los archivos adjuntos sospechosos y las actualizaciones de herramientas como WinRAR?

¿Pero deveras? 🌵💚