原文標題：Gorbag: Orcs at the border harvesting intelligence from Ukraine
ESET於11月3日公開Gorbag研究，表示至少自2025年2月起追蹤到該團體對烏克蘭的定向攻擊，目標偏向司法與執法、前線附近地方行政、國防及援助運輸相關機構。研究人員將其評估為與俄羅斯利益一致的威脅行為者，但對具體行動動機及後續合作關係仍保留分析判斷。這次文章延續10月研討會報告，補充攻擊鏈與資料蒐集工具的技術細節。
Gorbag早期以魚叉式釣魚郵件與惡意巨集附件傳送負載，之後改用利用WinRAR路徑穿越漏洞CVE-2025-8088的RAR檔。主要工具BeautyStealer可竊取瀏覽器Cookie與儲存密碼、OpenVPN設定，以及文件和部分憑證檔，再將資料封裝外傳，完成後嘗試刪除自身。團體也曾使用PowerShell反向連線工具Prime ReverseShell。ESET認為，一次性蒐集而非長期駐留的模式，可能表示它為其他團體提供初始存取資料，但後續入侵階段尚未被完整觀測。這項研究凸顯簡單工具也能對特定機構造成情報風險，防禦應核對附件處理、已知漏洞修補與敏感憑證暴露情況，不宜因惡意程式較簡單就低估影響。
發生了什麼事
ESET整理Gorbag針對烏克蘭機構的攻擊，說明從惡意附件到WinRAR漏洞的變化，以及BeautyStealer蒐集瀏覽器、VPN和文件資料的方式。
為什麼重要
攻擊不必依賴複雜長期植入也能取得可供後續使用的資料。針對特定組織蒐集憑證與文件，可能讓短期入侵延伸成更廣的情報風險。
影響哪些人
主要影響烏克蘭政府、司法與國防相關單位，也供其他組織的資安團隊檢視釣魚附件、封存檔處理及敏感憑證保護，並追蹤已知漏洞修補。
已確認與未確認
與俄羅斯利益一致及初始存取仲介角色屬ESET分析，後者仍是可能性。研究未完整觀測後續所有階段，也不代表相同攻擊已遍及全球。
