A ESET publicou em 3 de novembro de 2026 um relatório sobre o Gorbag, grupo alinhado à Rússia ativo desde ao menos fevereiro de 2025, que passou a usar uma falha do WinRAR para instalar um ladrão de senhas em órgãos públicos da Ucrânia. A empresa associa à mesma operação a atividade antes rastreada como GIFTEDCROOK, atribuída pelo CERT-UA ao grupo UAC-0226.
A falha explorada é a CVE-2025-8088, um path traversal do WinRAR. O conteúdo preparado dentro do arquivo escapa da pasta escolhida para a extração, e o atacante usa fluxos de dados alternativos do Windows para gravar arquivos em outros pontos do disco. A falha está reparada desde a versão 7.13, e o Gorbag a adotou depois do grupo RomCom, que já a usava em phishing.
Ao abrir o arquivo RAR, a vítima vê um PDF de fachada, enquanto um atalho é plantado na pasta de inicialização do Windows e um carregador em PowerShell, junto de uma carga cifrada, é gravado em disco. O atalho aciona o carregador a cada vez que a máquina liga, o que mantém o acesso sem nova ação da vítima.
A carga é o BeautyStealer, ladrão escrito em C++ que recolhe senhas salvas, cookies e estado de navegação do Chrome, do Edge, do Opera e do Firefox. Ele também procura configurações de OpenVPN e de acesso remoto, bases do KeePass, arquivos de chave Java e as chaves de assinatura eletrônica usadas na Ucrânia. A varredura alcança mídia removível e unidades de rede mapeadas.
Os alvos identificados são órgãos de governo, polícia, instituições de justiça, administrações locais e organizações de defesa. Cerca de um quarto deles são órgãos de justiça ou de segurança pública, e outro quarto são administrações municipais, em sua maioria câmaras de cidades perto da frente de combate. A ESET trata a motivação ligada a investigações de crimes de guerra como avaliação própria, não como objetivo confirmado.
O grupo trocou de método no caminho. Em 2025 as campanhas chegavam por e-mail com planilhas do Excel sobre multas e tributos, uma delas enviada de uma caixa postal comprometida de um governo local ucraniano, e dependiam de a vítima habilitar macros. No início de 2026 a entrega passou para os arquivos RAR, que dispensam essa autorização. O material roubado sai compactado pela API do Telegram ou, da versão 1.2 em diante, para um servidor próprio.
A defesa mais direta é atualizar o WinRAR para a 7.13 ou posterior em toda a frota, porque a entrega depende de uma falha reparada desde 2025. Bloquear atalhos e scripts na pasta de inicialização corta a persistência que o grupo usa, e desabilitar macros do Office por política fecha o caminho das campanhas de 2025. Para quem administra órgão público, vale revisar o que está guardado nos navegadores das estações e trocar as credenciais de VPN e de acesso remoto salvas em arquivo.
