ESET Research menerbitkan laporan pada 3 November 2026 tentang Gorbag, kelompok peretas yang menurut ESET selaras dengan kepentingan Rusia. Kelompok ini mengirim surel phishing berisi arsip RAR yang memanfaatkan celah lama di WinRAR, CVE-2025-8088, lalu memasang malware pencuri data di komputer korban. Semua target yang berhasil diidentifikasi ESET berada di Ukraina.
Cara Gorbag bekerja dan siapa sasarannya
ESET menyebut Gorbag aktif setidaknya sejak Februari 2025. Sasarannya sekitar seperempat lembaga penegak hukum dan peradilan, seperempat pemerintah daerah dekat garis depan (kebanyakan dewan kota), ditambah entitas sektor pertahanan dan satu pusat transportasi bantuan militer asing. Surel umpan bertema denda administrasi dan pajak, sebagian dikirim dari akun pemerintah Ukraina yang sudah dibobol.
Sepanjang 2025, kelompok ini memakai lampiran Excel berisi makro. Pada awal 2026 mereka beralih ke arsip RAR yang menyalahgunakan CVE-2025-8088, celah path traversal di WinRAR yang membuat berkas tersembunyi mendarat di luar folder tujuan. Rantai serangannya memakai teknik DLL sideloading, yang juga muncul di kampanye malware Yoba yang menyamar sebagai aplikasi AI.
Muatan utamanya adalah BeautyStealer, pencuri berbasis C++ yang ESET lacak dari versi 0.9 sampai 2.0. Menurut Help Net Security, ia mengambil cookie dan kata sandi peramban, konfigurasi OpenVPN, serta berkas dengan sekitar 40 ekstensi, lalu berusaha menghapus dirinya sendiri. Sebelumnya Gorbag memakai Prime ReverseShell, reverse shell PowerShell yang diambil dari repositori publik. ESET juga menduga Gorbag bisa berperan sebagai perantara akses awal yang meneruskan hasil curiannya ke pihak lain. Itu dugaan peneliti, bukan temuan yang sudah dipastikan.
Versi terdampak dan langkah yang perlu diambil
RARLAB menambal CVE-2025-8088 di WinRAR 7.13. Menurut advisori yang dirangkum AhnLab, WinRAR untuk Windows versi 7.12 dan yang lebih lama terdampak. Laporan ESET tidak menyebut jumlah korban dan tidak memuat pembaruan khusus di luar patch tersebut.
Pembaca di Indonesia tidak ada dalam daftar sasaran, tetapi celahnya ada di perangkat lunak yang dipasang di banyak komputer kantor dan rumah. Periksa versi WinRAR lewat menu Help, About WinRAR, lalu pasang 7.13 atau yang lebih baru dari situs resmi RARLAB. Jangan membuka arsip dari pengirim yang tidak dikenal, terutama yang mengaku surat denda atau pajak, dan matikan makro Office untuk berkas yang diterima lewat surel. Indikator serangan lengkap ada di laporan ESET.
Sumber: ESET Research, Gorbag: Orcs at the border harvesting intelligence from Ukraine; The Hacker News; Help Net Security; AhnLab ASEC. Gambar: ESET Research.