گروه Ghostwriter با استفاده از فیشینگ PDF جغرافیایی و Cobalt Strike، دولت اوکراین را هدف قرار داد

گروه تهدید سایبری موسوم به Ghostwriter که با بلاروس همسو است، در یک سری حملات جدید علیه سازمان‌های دولتی اوکراین شناسایی شده است. بر اساس گزارش شرکت امنیتی ESET، این گروه که از سال ۲۰۱۶ فعال بوده، از اوایل مارس ۲۰۲۶ با ارسال فایل‌های PDF مخرب از طریق حملات فیشینگ هدفمند (spear-phishing)، نسخه جاوااسکریپتی بدافزار PicassoLoader را برای استقرار ابزار Cobalt Strike به کار گرفته است. این اسناد فریبنده با جعل هویت شرکت مخابراتی اوکراینی «اوکرتلکام» طراحی شده‌اند و زنجیره آلودگی شامل بررسی موقعیت جغرافیایی (geofencing) است تا تنها قربانیانی با آدرس IP اوکراینی هدف قرار گیرند. اثرانگشت سیستم قربانی هر ۱۰ دقیقه یک‌بار به زیرساخت مهاجمان ارسال می‌شود تا اپراتورها به‌صورت دستی تصمیم بگیرند آیا ارزش ادامه حمله را دارد یا خیر.

در همین حال، گروه روسی Gamaredon نیز از سپتامبر ۲۰۲۵ با کمپین فیشینگ هدفمند علیه نهادهای دولتی اوکراین، بدافزارهای GammaDrop و GammaLoad را از طریق آرشیوهای RAR و با بهره‌گیری از آسیب‌پذیری CVE-2025-8088 توزیع کرده است. از سوی دیگر، گروه هکتیویست طرفدار اوکراین BO Team در حملاتی علیه سازمان‌های روسی با گروه Head Mare همکاری احتمالی داشته و بدافزارهای BrockenDoor، ZeronetKit و یک درپشتی مستندنشده مبتنی بر Go به نام ZeroSSH را به کار برده است. همچنین گروه مالی‌محور Hive0117 با ارسال ایمیل‌های فیشینگ به بیش از ۳۰۰۰ سازمان روسی بین فوریه تا مارس ۲۰۲۶، از طریق نفوذ به رایانه‌های حسابداران و جعل پرداخت‌های حقوقی، بیش از ۱۴ میلیون روبل سرقت کرده است.