Le groupe Gorbag, aligné sur la Russie, cible l'Ukraine avec des infostealers et une faille WinRAR depuis février 2025.

Un nouvel acteur de la menace attire l’attention des chercheurs. Le groupe Gorbag, considéré comme aligné sur la Russie, mène des attaques contre des organisations ukrainiennes. Il s’appuie en effet sur des logiciels voleurs d’informations d’apparence simple. Selon les éléments publiés, il aurait également exploité une faille touchant WinRAR pour déployer ces codes malveillants.

Ces observations proviennent d’un chercheur d’ESET. Elles montrent ainsi qu’une attaque efficace n’a pas besoin d’être sophistiquée.

Qui est le groupe Gorbag ?

Gorbag est actif depuis au moins février 2025. Autrement dit, la campagne dure depuis déjà plusieurs mois. Le groupe se distingue par un périmètre très étroit. D’après ESET, il se concentre exclusivement sur des cibles ukrainiennes.

Cette absence de victimes hors d’Ukraine n’est pas anodine. En effet, elle suggère une mission précise, plutôt qu’une activité opportuniste à grande échelle. Les opérateurs ciblent donc des structures qui présentent un intérêt stratégique ou opérationnel.

Par ailleurs, les chercheurs qualifient le groupe d’« aligné sur la Russie ». Cette formule désigne un acteur dont les objectifs concordent avec les intérêts russes. Toutefois, elle ne constitue pas, en soi, une attribution formelle à un service étatique.

Des cibles ukrainiennes bien choisies

Le ciblage suit une logique claire. En effet, ESET observe une préférence marquée pour trois catégories d’organisations :

• les forces de l’ordre et les institutions judiciaires ;
• les administrations locales situées près de la ligne de front ;
• le secteur de la défense.

Ces choix sont cohérents. D’abord, les services de police et de justice détiennent des informations sensibles sur des enquêtes, des personnes et des procédures. Ensuite, les collectivités proches du front gèrent des données locales utiles sur le terrain. Enfin, le secteur de la défense concentre des informations militaires et industrielles.

Ainsi, même un malware peu élaboré peut avoir de lourdes conséquences. Un simple vol d’identifiants ou de documents suffit parfois à ouvrir d’autres accès.

Pourquoi le groupe Gorbag choisit des outils simples

Les voleurs d’informations, ou infostealers, collectent des données sur une machine infectée. Il peut s’agir, par exemple, de mots de passe, de fichiers ou d’informations système. Ces outils sont relativement faciles à développer et à adapter. De plus, ils produisent des résultats rapides.

Le choix de la simplicité présente plusieurs avantages pour un attaquant :

• le coût de développement reste faible ;
• le code est facile à modifier pour éviter certaines détections ;
• l’attribution devient plus difficile, car ces familles sont courantes.

Le recours à une vulnérabilité de WinRAR s’inscrit dans cette logique. WinRAR est un utilitaire de compression très répandu. Il est donc présent sur de nombreux postes, y compris dans les administrations. Par conséquent, une faille dans ce logiciel offre un point d’entrée potentiellement large.

Toutefois, les informations disponibles ne précisent pas ici l’identifiant CVE de la faille. Elles ne détaillent pas non plus la chaîne d’infection complète. Il convient donc de rester prudent sur les mécanismes exacts. Ainsi, les rapports techniques d’ESET restent la référence pour ces précisions.

Un schéma déjà connu en Ukraine

Cette activité s’ajoute à un contexte de cybermenaces soutenues contre l’Ukraine. Depuis plusieurs années, des acteurs variés visent les institutions du pays. Leurs objectifs vont de l’espionnage au sabotage.

Gorbag illustre une tendance notable. Les groupes n’ont pas toujours besoin d’outils exclusifs ou de failles inédites. En effet, ils combinent des logiciels courants, des vulnérabilités connues et une bonne connaissance de leurs cibles. Cette approche est pragmatique. Pourtant, elle reste redoutable lorsque les correctifs tardent.

En outre, l’attention portée aux collectivités proches du front rappelle un point essentiel. Les petites structures disposent souvent de moyens limités en cybersécurité. Elles deviennent donc des cibles attractives.

Recommandations

Les organisations exposées, en Ukraine comme ailleurs, peuvent réduire le risque grâce à quelques mesures concrètes. D’abord, il faut mettre à jour WinRAR vers la dernière version disponible. Ensuite, il convient de vérifier l’inventaire des postes où ce logiciel est installé.

• Appliquer rapidement les correctifs sur les utilitaires de bureau, pas seulement sur le système.
• Se méfier des archives reçues par messagerie, même lorsque l’expéditeur semble légitime.
• Déployer une solution de détection sur les postes (EDR) capable de repérer les comportements d’infostealers.
• Activer l’authentification multifacteur afin de limiter l’effet des identifiants volés.
• Sensibiliser les agents à l’ouverture de pièces jointes compressées.

Ce qu’il faut retenir

Le groupe Gorbag cible exclusivement l’Ukraine depuis février 2025, selon ESET. Il vise surtout la justice, les forces de l’ordre, les administrations proches du front et la défense. Ses outils sont simples, mais ils sont efficaces face à des systèmes non corrigés. Par conséquent, la mise à jour de WinRAR et la vigilance sur les archives restent des priorités.

Source : Russia-Aligned Gorbag Hackers Exploit WinRAR Flaw to Deploy Data-Stealing Malware