ロシア系サイバースパイ、ウクライナの戦争犯罪捜査と軍事支援ルートを標的に

これまで確認されていなかったロシア寄りのハッキンググループが、ウクライナの政府機関や防衛関連組織、さらに外国からの軍事支援物資の輸送に使われるインフラを標的にしていることが、研究者の調査で明らかになりました。

このグループは「Gorbag」と名付けられ、少なくとも2025年2月から活動しています。サイバーセキュリティ企業ESETが火曜日に公開した報告書で明らかにしました。攻撃者は比較的単純なマルウェアを使い、ウクライナの組織、とりわけ前線やロシア国境に近い組織から、機密文書やログイン認証情報などを盗み出しています。

研究者によると、侵害したネットワークに数カ月にわたって潜伏し続ける高度なサイバースパイグループとは異なり、Gorbagはマルウェアの痕跡を消す前に、情報を素早く盗み出すことに重点を置いているようです。

このグループの標的は、ウクライナの戦争犯罪捜査の監視、ロシア軍の攻撃による被害の評価、軍事物資や地域の防衛活動に関する情報収集といった、ロシアの戦時下の情報収集上の優先事項と密接に一致しています。

ESETによると、判明している標的の約4分の1は、ウクライナの法執行機関と司法機関です。研究者は、ロシアによる戦争犯罪の疑いに関する捜査を監視したり、ウクライナ国内のロシア工作員や協力者を特定したりする狙いがある可能性を指摘しています。

別の4分の1は地方自治体で、そのほとんどが前線近くの市議会です。こうした機関は、ロシアの空爆による被害の情報を集めていることが多く、その中には重要インフラの被害評価や、公表されていない復旧の見込み時間なども含まれます。

ESETは、こうした記録にアクセスできれば、ロシア軍が攻撃の効果を評価する助けになり得ると述べています。攻撃者は、新兵募集や軍事訓練、民間防衛の準備といった、地域の防衛の取り組みに関する情報も狙っている可能性があります。

このほかの標的には、ウクライナの防衛関連組織や、研究者が外国からの軍事支援の主要な輸送拠点と位置づけた組織が含まれます。ESETはこの施設の名称を明らかにしていませんが、過去にロシアの空爆を受けたことがあるとしています。攻撃者は、搬入される軍事物資や、輸送インフラが受けた被害に関する情報を探っている可能性があると、研究者は指摘しています。

Gorbagの攻撃は、主に悪意ある添付ファイルを付けたフィッシングメールに依存しています。添付ファイルは、行政上の罰金や税金に関する公式文書を装っていることが多いということです。

被害者が添付ファイルを開くと、攻撃者はブラウザーに保存されたパスワードやCookie、VPNの設定、さらにMicrosoft Office文書やメールの記録、アーカイブなど、選別したファイルを盗み出せるようになります。

主力の情報窃取ツール「BeautyStealer」は、コンピューターやリムーバブルストレージ、接続されたネットワークドライブを検索し、価値のありそうなファイルを探します。盗んだ情報を送信した後は、自らを削除しようとします。

Gorbagは「Prime ReverseShell」というツールも使用しています。公開されているコードを改変したもので、攻撃者が侵害したコンピューター上でリモートからコマンドを実行できるようになります。

2026年初頭には、攻撃手法を変更し、広く使われているファイルアーカイブソフトWinRARの既知の脆弱性を悪用するようになりました。この脆弱性はCVE-2025-8088として管理されており、細工されたアーカイブを被害者が開くと、攻撃者が悪意あるコードを実行できます。2025年7月に修正されており、サイバー犯罪やスパイ活動に関与するロシア寄りの別のハッキンググループ「RomCom」が、以前にこの脆弱性を悪用していました。

ESETは、Gorbagが継続的なアクセスの維持よりも情報の迅速な収集を優先している点から、他のハッキンググループと連携している可能性があると指摘しています。盗んだ認証情報や文書を、その後の侵入を実行する別の攻撃者に渡しているというのです。ただ、実際にそのような協力が行われているかどうかは、研究者も確認できていません。

ESETは次のように述べています。「比較的未熟なツールセットにもかかわらず、このグループは正確な標的選定と作戦上の意図を示しており、ウクライナとの戦争におけるロシアのより広範な戦略目標に貢献しようとしています。ウクライナでの戦争が続く限り、Gorbagのようなグループは、ウクライナの政府機関、司法機関、防衛機関にとって継続的な脅威であり続けると予想されます」