گروه گامارِدون از آسیب‌پذیری WinRAR برای انتشار GammaWorm و GammaSteel علیه اوکراین سوءاستفاده می‌کند

گروه هکری روسی موسوم به «گامارِدون» (Gamaredon) با بهره‌برداری مستمر از یک آسیب‌پذیری در نرم‌افزار WinRAR به نام CVE-2025-8088 — که یک نقص پیمایش مسیر (path traversal) است — به توزیع چندین خانواده بدافزاری برای سرقت داده و انتشار در شبکه متهم شده است. بر اساس گزارش شرکت امنیت سایبری فرانسوی Sekoia که این زنجیره آلودگی را در ژانویه ۲۰۲۶ رصد کرده، این گروه از یک بارگذار HTML Application به نام «گاماFish» (GammaPhish) برای دریافت دانلودکننده‌های میانی VBScript با نام «گاماLoad» (GammaLoad) استفاده می‌کند. یکی از بدافزارهای توزیع‌شده، کرم VBScript با نام «گاماWorm» (GammaWorm) است که از طریق وظایف زمان‌بندی‌شده (scheduled tasks) پایداری ایجاد می‌کند، پوشه‌های قانونی در درایوهای USB و اشتراک‌های شبکه را پنهان کرده و با فایل‌های میانبر مخرب (LNK) جایگزین می‌نماید. این کرم برای ارتباط با سرور فرمان و کنترل (C2) از کانال‌های عمومی تلگرام بهره می‌برد تا در ترافیک عادی مخفی بماند، و از تکنیک جریان‌های داده جایگزین NTFS (ADS) برای پنهان‌سازی ماژول‌های اصلی خود استفاده می‌کند.

بدافزار دیگری به نام «گاماSteel» (GammaSteel) — یک سارق اطلاعات ماژولار — فایل‌هایی با پسوندهای خاص را شناسایی و به یک سطل S3 متعلق به سرویس AWS یا سرور تحت کنترل مهاجم ارسال می‌کند. گامارِدون که به سرویس امنیت فدرال روسیه (FSB) وابسته است، سابقه طولانی در هدف قرار دادن نهادهای دولتی، نظامی و زیرساخت‌های حیاتی اوکراین دارد. Sekoia این معماری را «انعطاف‌پذیر، گسترده و به‌شدت مبهم‌سازی‌شده» توصیف کرده و با اطمینان بالا پیش‌بینی می‌کند که این ساختار در آینده نیز مورد استفاده قرار خواهد گرفت. همزمان، گروه‌های تهدید دیگری نظیر UAC-0184 و UAC-0247 نیز اهداف نظامی اوکراین را هدف قرار داده‌اند، و محققان تکامل بدافزار «پیکسی‌نت‌لودر» (PixyNetLoader) منتسب به APT28 را در کمپین‌هایی که از آسیب‌پذیری Microsoft Office (CVE-2026-21509) سوءاستفاده می‌کنند، رصد کرده‌اند.