ESET Forscher haben einen mit Russland in Verbindung stehenden Angreifer namens „Gorbag“ verfolgt. Zwar sind Teile der Werkeuge, auf die die Gruppe zurückgreift – insbesondere der Infostealer „GIFTEDCROOK“,  – bereits in öffentlichen Berichten aufgetaucht, doch blieben die Angriffsziele und die Gesamtaktivität von Gorbag bislang weitgehend unerforscht. Die Gruppe ist mindestens seit Februar 2025 aktiv und hat sich ausschließlich auf ukrainische Ziele konzentriert, wobei sie eine klare Vorliebe für Strafverfolgungs- und Justizbehörden, lokale Verwaltungen in der Nähe der Frontlinie sowie den Verteidigungssektor zeigt.

Anstatt sich auf ausgeklügelte Implantate für langfristigen Zugriff zu verlassen, nutzt Gorbag ein kleines Toolset, das für die schnelle Informationsbeschaffung entwickelt wurde. Browser-Anmeldedaten, VPN-Konfigurationen und ausgewählte Dokumente werden in einem einzigen Durchgang gesammelt, bevor die eingesetzte Malware versucht, sich selbst zu entfernen. Eine mögliche Erklärung für diesen Ansatz ist, dass Gorbag als „Initial Access Broker“ agiert und gesammelte Zugangsdaten sowie anderes Material an andere Bedrohungsakteure für Folgeaktivitäten weitergibt. Wenn dem so ist, stellt Gorbag möglicherweise nur die erste Stufe einer längeren Angriffskette dar, deren spätere Phasen noch beobachtet werden müssen. Die Auswahl der Angriffsziele steht in engem Einklang mit den nachrichtendienstlichen Prioritäten Russlands in Kriegszeiten.

Wir haben unsere Erkenntnisse über die APT-Gruppe „Gorbag“ auf der Virus-Bulletin-Konferenz am 14. Oktober 2026 vorgestellt; die vollständige technische Analyse ist in unserem von Virus Bulletin veröffentlichten Whitepaper „Gorbag: Orcs at the border“ verfügbar.

Kernpunkte dieses Blogbeitrags:
  • Gorbag ist ein bislang wenig beachteter, mit Russland verbündeter Bedrohungsakteur; wir haben seit Februar 2025 hochgradig gezielte Angriffe festgestellt, insbesondere gegen ukrainische Organisationen in der Nähe der russisch-ukrainischen Grenze.
  • Die Ziele der Gruppe stehen in engem Einklang mit den strategischen Prioritäten Russlands: ukrainische Strafverfolgungs- und Justizbehörden, lokale Verwaltungen, der Verteidigungssektor sowie ein wichtiger Verkehrsknotenpunkt für ausländische Militärhilfe.
  • Die Malware wird über Spear-Phishing-E-Mails mit bösartigen Anhängen verbreitet.
  • Der operative Schwerpunkt liegt auf der einmaligen Informationsgewinnung und nicht auf langfristigem Zugriff, was auf eine Rolle als „Initial Access Broker“ für andere russlandnahe Bedrohungsakteure hindeuten könnte.
  • Das Toolset der Gruppe besteht aus einer PowerShell-Reverse-Shell, die wir „Prime ReverseShell“ genannt haben, und einem C++-Stealer für Browserdaten und Dateien, den wir „BeautyStealer“ genannt haben.
  • Anfang 2026 aktualisierte Gorbag seine Kompromittierungskette, um CVE-2025-8088 auszunutzen, eine von ESET Research entdeckte und gemeldete Path-Traversal-Sicherheitslücke in WinRAR.

Gorbag: Orcs at the border
Read the full report
 
 
 
 
 
 
PDF
 

Opferprofil und geopolitischer Kontext

Alle von ESET identifizierten Ziele der Gruppe befinden sich in der Ukraine, und die Zielauswahl der Gruppe lässt sich in drei Hauptbereiche einteilen, die eng mit den Prioritäten des russischen Kriegsnachrichtendienstes übereinstimmen.

Ukrainische Justiz und Strafverfolgungsbehörden

Etwa ein Viertel der Ziele von Gorbag sind ukrainische Regierungsorganisationen, die im Bereich der Strafverfolgung und Justiz tätig sind. Dies ist kein neuer Schwerpunkt für russlandnahe Bedrohungsakteure: Im Jahr 2023 berichtete das ukrainische SSSCIP, dass mit dem GRU und dem FSB verbundene Bedrohungsakteure versuchten, Strafverfolgungsbehörden im ganzen Land zu kompromittieren. Die damals identifizierten Motive sind wahrscheinlich auch heute noch relevant – die Überwachung und möglicherweise die Störung der ukrainischen Bemühungen, von russischen Streitkräften begangene Kriegsverbrechen zu dokumentieren und strafrechtlich zu verfolgen, sowie der Gewinn von Einblicken in Ermittlungen, die darauf abzielen, russische Agenten und Kollaborateure auf ukrainischem Boden zu identifizieren.

Die ukrainische Justiz ist die ganze Zeit über aktiv geblieben und hat bereits mehrere hundert Anklagen erhoben. Die Eröffnung des ukrainischen Kriegsverbrecherprozesses gegen einen gefangenen russischen Soldaten im Februar 2025 könnte einer der Faktoren sein, die hinter dieser erneuten Fokussierung stehen. Unseren Daten zufolge fand Gorbags erste Aktivität gegen eine ukrainische Justizbehörde Ende März 2025 statt.

Ukrainische Kommunalverwaltungen in der Nähe der Frontlinie

Ein weiteres Viertel der Ziele von Gorbag sind lokale Regierungsstellen, meist Stadträte in Gebieten nahe der Frontlinie. Auch wenn Kommunalverwaltungen als ungewöhnliche Spionageziele erscheinen mögen, lassen sich mehrere Hypothesen für diese Wahl anführen:

  • Bewertung von Kampfschäden (BDA): Ukrainische Stadträte sind oft dafür zuständig, Schäden zu melden, die durch russische Luftangriffe verursacht wurden. Während menschliche Opfer in der Regel öffentlich bekannt gegeben werden, bleiben andere Bewertungen – Schäden an kritischer Infrastruktur und geschätzte Reparaturzeiten – im Allgemeinen vertraulich. Praktisch alle Städte, deren Stadträte von Gorbag ins Visier genommen wurden, waren während des Einsatzzeitraums russischen Luftangriffen ausgesetzt, was die Vermutung nahelegt, dass die Betreiber der russischen Militärführung Einblicke in die Wirksamkeit der russischen Angriffe liefern.
  • Überwachung lokaler Verteidigungsinitiativen: Stadträte beaufsichtigen auch lokale Verteidigungsaktivitäten, wie die Einrichtung von Rekrutierungs- und Ausbildungszentren sowie die Organisation des Zivilschutzes in ihrem Zuständigkeitsbereich. Gorbags Angriffe könnten auch darauf abzielen, Informationen über solche Initiativen zu sammeln, insbesondere in Frontgebieten.

Diese Hypothesen schließen sich nicht gegenseitig aus, und die Aktivitäten von Gorbag könnten durch eine Kombination dieser und anderer Faktoren motiviert sein.

Verteidigungssektor und Logistik

Zu den übrigen Zielen gehören verschiedene Einrichtungen im Verteidigungssektor sowie eine Einrichtung, die öffentlich als wichtiger Verkehrsknotenpunkt für ausländische Militärhilfe dokumentiert wurde. Diese Infrastruktur war zudem russischen Luftangriffen ausgesetzt, was darauf hindeutet, dass Gorbags Interesse möglicherweise sowohl der Schadensbewertung als auch der Einblicke in ankommende Militärlieferungen gilt.

Toolset und Kompromittierungskette

Detaillierte Informationen zu den eingesetzten Werkzeugen gibt es im englischsprachigen Original-Blogpost.