Close Menu
    Youtube
    Cyber Attack

    Ghostwriter Cyber Attacks Use Obfuscated Excel Macros to Target Ukraine and Belarusian Opposition

    Infection Chain in the Ghostwriter Malware Campaign: From Shared Docs to Stealthy Loaders
    By Updated:224 Comments5 Mins Read
    EU Sanctions Russian Hackers for Cyber Attacks on Estonia

    A new Ghostwriter malware campaign is actively targeting Ukrainian government and military institutions, along with Belarusian opposition activists, in a renewed wave of cyber espionage.

    The campaign uses weaponized Excel documents embedded with obfuscated macros. As revealed by cybersecurity firm SentinelOne, these documents act as entry points for delivering stealthy payloads, including a new version of PicassoLoader.

    Ghostwriter, also known by aliases like Moonscape, TA445, UAC-0057, and UNC1151, has been active since 2016 and has consistently aligned itself with Russian state interests, spreading disinformation and launching targeted cyber operations across Europe.

    Ghostwriter Malware Campaign Origins and Targets

    Prepping Since Mid-2024, Going Live by Year’s End

    The current activity has begun as early as July 2024, with full activation observed in November and December. It primarily targets:

    • Ukrainian military and government offices
    • Political opposition activists in Belarus
    • Entities and individuals viewed as opponents of pro-Russian narratives

    According to researcher Tom Hegel at SentinelOne, recent activity involving malware samples and command-and-control (C2) infrastructure suggests that the campaign will remain active in early 2025.

    Also Read: E.U. Sanctions Russian Hackers for Cyber Attacks on Estonia’s Government

    Infection Chain: From Shared Docs to Stealthy Loaders

    The Entry Point: Google Drive and a Familiar Name

    The Ghostwriter malware campaign begins with a RAR archive hosted on Google Drive, shared by a user posing as Vladimir Nikiforech. The archive contains a malicious Microsoft Excel file.

    Once opened, users are prompted to enable macros — a long-standing method used to trick unsuspecting victims. When enabled, the macro:

    1. Writes a DLL file to the victim’s system
    2. Executes the DLL to deploy a streamlined version of PicassoLoader
    3. Displays a decoy Excel document to avoid suspicion
    4. Proceeds to download additional malware payloads

    This approach has been consistent throughout 2024, with some payloads being used to deliver Cobalt Strike, a popular post-exploitation framework among state-sponsored hackers and cybercriminals.

    Technical Details: Macropack and PicassoLoader in Action

    Macros Obfuscated with Macropack

    The Ghostwriter malware campaign continues using Macropack, a tool that obscures Visual Basic for Applications (VBA) macros in Excel files, making static analysis and detection more difficult.

    Once triggered, the macro leverages embedded logic to drop or inject additional malware components. In this campaign:

    • The main Excel file drops PicassoLoader
    • PicassoLoader handles staging, downloading, and executing second-stage payloads

    Example: LibCMD DLL Deployment

    In one variant, a specially crafted Excel macro is used to deploy a DLL called LibCMD. This file:

    • Executes cmd.exe, Windows’ native command-line tool
    • Connects to stdin/stdout streams to establish control
    • Loads in-memory as a .NET assembly, avoiding disk artefacts

    Steganography and Covert C2

    Using JPG Files to Hide Malware

    One of the more novel aspects of the Ghostwriter malware campaign is the use of steganography — the practice of hiding data within image files.

    SentinelOne observed an Excel lure designed to fetch a seemingly harmless JPG file from the domain sciencealert[.]shop.

    Although the domain has since gone offline, this behaviour highlights Ghostwriter’s use of creative obfuscation tactics to deliver malware payloads through nontraditional channels.

    When decoded, these images revealed embedded malware that activated post-download, ensuring minimal visibility to endpoint security solutions.

    Persistent Use of ConfuserEx Obfuscation

    Making Analysis Difficult for Researchers

    Most of the .NET downloaders used in the campaign are obfuscated using ConfuserEx. This popular open-source tool scrambles code to hinder reverse engineering.

    By employing ConfuserEx, Ghostwriter increases:

    • Resilience against antivirus detection
    • Difficulty in unpacking malware logic
    • The time needed for analysts to deconstruct behaviour

    The combination of Macropack for VBA macros and ConfuserEx for .NET binaries demonstrates a clear strategy: layered obfuscation for maximum stealth.

    Strategic Intent: Espionage Over Destruction

    Not Military, But Politically Aligned

    While Belarus is not actively involved in direct military combat in the Russia-Ukraine conflict, this campaign indicates the country’s cyber operators are firmly supporting Russia’s political and intelligence goals.

    The Ghostwriter malware campaign`s targets and tactics show a clear preference for:

    • Long-term access to sensitive systems
    • Data theft and surveillance over destruction
    • Influence operations, including spreading false narratives about NATO and Ukraine

    Why Excel Macros Still Work in 2025

    Despite repeated warnings from security firms and years of public advisories, macros in Microsoft Office files remain a common attack vector — mainly because:

    • Many users still enable macros for compatibility reasons
    • Macros are deeply embedded in enterprise workflows
    • Legacy defences focus on known patterns, while obfuscation techniques keep evolving

    This highlights the need for stronger email filtering, endpoint detection, and user training to combat socially engineered lures.

    What to Do Now: Recommendations

    Defending Against Macro-Based Malware

    Organizations, especially those in Eastern Europe, should take proactive steps to prevent the Ghostwriter malware campaign`s based attacks:

    • Disable macros by default across Microsoft Office tools
    • Enable Microsoft Defender for Office to scan email attachments
    • Use network-based anomaly detection to monitor unusual downloads
    • Implement filetype restrictions for incoming email attachments (e.g., block RAR/Excel)
    • Educate staff on the dangers of enabling macros from unknown sources
    • Deploy sandbox environments to inspect suspicious documents safely

    FAQs

    Who is a Ghostwriter?

    Ghostwriter is a Belarus-aligned cyber espionage group known for targeting Ukraine and promoting Russian political agendas through hacking and disinformation.

    How does the malware infect victims?

    Victims are lured via Excel files hosted on Google Drive. Once macros are enabled, the file drops a DLL to deliver further malware like PicassoLoader.

    What is PicassoLoader?

    PicassoLoader is a malware staging tool for downloading and executing additional payloads, such as Cobalt Strike, on compromised machines.

    What is Macropack?

    Macropack is a framework for obfuscating Excel VBA macros, making them difficult for security software to analyze and detect.

    What role does steganography play in this attack?

    The Ghostwriter hides malware inside image files (JPGs) using steganography. The images are downloaded during the attack and decoded to extract malware.

    Is this campaign ongoing?

    Yes. As of early 2025, infrastructure and sample activity suggest the campaign is still active and evolving.

    Author

    • Ambreen Chaudhary is a Cyber Crime expert dedicated to raising awareness about cybersecurity and promoting digital safety. With a strong background in cyber laws and online threat prevention, she offers valuable insights to help individuals and businesses protect themselves in the digital age.

    Share.

    Ambreen Chaudhary is a Cyber Crime expert dedicated to raising awareness about cybersecurity and promoting digital safety. With a strong background in cyber laws and online threat prevention, she offers valuable insights to help individuals and businesses protect themselves in the digital age.

    Related Posts

    224 Comments

    1. Pingback: Ahold Delhaize Cyber Attack Exposes Stolen Company Data

    3. Chestersoync on

      Создание блога life-webmaster.ru и бизнеса в сети шаг за шагом: платформы, контент-план, трафик, монетизация без вложений. Готовые шаблоны и понятные инструкции для старта.

    52. M~a binance on

      Thank you for your sharing. I am worried that I lack creative ideas. It is your article that makes me full of hope. Thank you. But, I have a question, can you help me?

    56. winph8 on

      [6660]Winph8 Online Casino Philippines: Secure Winph8 Login, Fast Register & App Download for Premium Slot Games. Join Winph8 Online Casino Philippines for premium Winph8 slot games. Enjoy a secure Winph8 login, fast Winph8 register, and easy Winph8 app download. Experience the ultimate gaming platform and start winning today! visit: winph8

    65. TimsothyLex on

      Just desire to say your article is as astounding. The clarity on your post is just excellent and i could assume you’re an expert in this subject. Well together with your permission let me to clutch your RSS feed to keep updated with drawing close post. Thank you one million and please carry on the rewarding work.
      https://share.google/C5t27PsfsG62AOVno

    67. Binance开户 on

      Thank you for your sharing. I am worried that I lack creative ideas. It is your article that makes me full of hope. Thank you. But, I have a question, can you help me?

    68. Binance美国注册 on

      Thank you for your sharing. I am worried that I lack creative ideas. It is your article that makes me full of hope. Thank you. But, I have a question, can you help me?

    79. Binance on

      Thank you for your sharing. I am worried that I lack creative ideas. It is your article that makes me full of hope. Thank you. But, I have a question, can you help me?

    91. 注册 on

      Can you be more specific about the content of your article? After reading it, I still have some doubts. Hope you can help me.

    101. Binance Signup Bonus on

      Thank you for your sharing. I am worried that I lack creative ideas. It is your article that makes me full of hope. Thank you. But, I have a question, can you help me?

    104. KaleSmurf on

      Took me back a step or two on an assumption I had been making, and a stop at firstisnotequallast pushed that reconsideration further, writing that gently corrects the reader without being aggressive about it is a rare diplomatic skill and the team here clearly knows how to land critical points without turning readers off.

    105. Kevinvox on

      Everything for Minecraft https://topminecraftworldseeds.com in one place: mods, skins, maps, texture packs, and the best seeds for survival, creativity, and adventure. Collections of popular add-ons, installation instructions, updates, and secure downloads for different versions of the game.

    106. SteveabirE on

      Все для Minecraft minecraft-files.ru в одном месте: моды, скины, карты, текстуры и полезные загрузки для Java и Bedrock Edition. Находите лучшие дополнения, следите за обновлениями, используйте подробные гайды и безопасно скачивайте игровой контент.

    107. Ralphtop on

      Глобальный маркетплейс NPPRTEAMSHOP https://npprteamshop.com/facebook/facebook-akkaunty-dlya-reklamy/ предлагает обширный ассортимент, обновляемый ежедневно по всем ключевым гео. NPPRTEAMSHOP.COM обслуживает арбитражников и агентства с 2020 года со стабильным качеством и быстрой отгрузкой. Регистрируйтесь на npprteamshop.com для доступа к полному каталогу и получайте аккаунты, проходящие чекпоинты с первого дня.

    108. CarrollJew on

      NPPRTeamShop.com purchase tiktok agency account no suspension connects performance marketers with rigorously tested profiles backed by replacement guarantees. Bulk buyers benefit from volume discounts, dedicated account managers, and priority restocking that ensures uninterrupted supply for active campaigns. Get access to the NPPR TEAM SHOP catalog and turn a reliable account source into a real competitive advantage.

    110. Dannywrich on

      Хочешь сайт на тильде? материал лендинги, сайты услуг, интернет-магазины, корпоративные проекты и портфолио с адаптивным дизайном, SEO-подготовкой, интеграциями и удобной системой управления контентом.

    111. ArthurScavy on

      Жіночий журнал https://womandb.com про красу, моду, здоров’я, стосунки, сім’ю та стиль життя. Читайте корисні поради, актуальні тренди, рецепти, психологію, догляд за собою та цікаві статті для сучасних жінок.

    112. Jameszef on

      Последние одесские новости https://dverikupe.od.ua и происшествия за сегодня: оперативная информация о событиях в Одессе и области, ДТП, происшествиях, работе городских служб, политике, экономике, обществе, погоде и других важных новостях дня.

    113. AlbertPaile on

      Повышение квалификации https://kursdpo.ru и переподготовка для работников образования с учетом актуальных требований. Курсы для учителей, воспитателей, преподавателей, психологов, логопедов и руководителей образовательных учреждений в удобном формате обучения.

    114. Frankhab on

      Грузчики в Киеве https://www.gruzchiki-kiev.net для квартирных и офисных переездов, погрузки, разгрузки и подъема грузов. Опытные специалисты, аккуратная работа с мебелью, техникой и стройматериалами, почасовая оплата, срочный выезд по всем районам города.

    115. LloydWAF on

      Останні новини Києва https://xxl.kyiv.ua головні події столиці, оперативні повідомлення, міські новини, ДТП, надзвичайні ситуації, політика, економіка, культура, спорт і життя міста. Слідкуйте за актуальною інформацією та важливими подіями щодня.

    116. Henryric on

      Все про діабет https://pro-diabet.in.ua симптоми, причини, діагностика, лікування та профілактика. Корисні статті про цукровий діабет 1 і 2 типу, контроль рівня глюкози, харчування, спосіб життя та сучасні методи терапії.

    118. Rickysnoff on

      Кремация https://krematsiya-moskva.ru процесс сжигания тела человека после его смерти, который в последнее время становится все более популярным в Москве. Многие люди выбирают этот способ прощания со своими близкими по различным причинам: от личных убеждений до практических соображений, связанных с захоронением.

    119. Careyphelm on

      Are you leveling up your character? buy WoW gold BooStRiders is a game boosting and currency marketplace: hire verified boosters for rank boost, coaching and clears, or buy WoW Gold, PoE Orbs and Diablo 4 Gold. Every order is protected by escrow, so you only pay when the work is done — trusted by 50,000+ gamers.

    120. JosephAideM on

      Играешь онлайн? услуги бустинга в играх гриндить рейтинг, золото и достижения вручную — это сотни часов. BooStRiders — маркетплейс бустинга и игровой валюты: можно нанять проверенных бустеров для прокачки рейтинга, коучинга и закрытия контента или купить WoW Gold, PoE Orbs и Diablo 4 Gold. Каждая

    121. Brucehoaby on

      Занимаешься сайтами? отслеживание позиций сайта чтобы видеть реальный эффект продвижения, важно ежедневно отслеживать позиции сайта в Google и Яндексе, а не проверять их руками. Site Metrics Tool подключается к Google Search Console и Яндекс.Вебмастеру и в реальном времени показывает динамику позиций, трафика и SEO-метрик — с отчётами, где сразу видно, что растёт, а что проседает.

    122. LeonardAnync on

      Хочешь узнать совместимость? совместимость по дате рождения понять, подходите ли вы друг другу, помогает не общий гороскоп по знаку, а разбор по дате рождения обоих партнёров. На Luore можно бесплатно рассчитать совместимость по дате рождения и получить натальную карту с расшифровкой: сервис показывает сильные стороны пары, зоны напряжения и советы, как сделать отношения гармоничнее.

    123. Marvinrax on

      Играешь в WOW? купить золото WoW в магазине Мурловиль можно быстро и безопасно купить золото WoW, оформить подписку Game Time, заказать прокачку персонажа или буст рейдов и Мифик+. Актуально для Midnight, Classic и MoP, с гарантией и живой поддержкой — экономит десятки часов гринда.

    125. Jerryacist on

      Занимаешься рассылками? свой SMTP для рассылок Sendersy — платформа email-рассылок со своим SMTP: массовые и транзакционные письма через API, визуальный редактор, автоматизация и аналитика открытий. Данные хранятся в ЕС и РФ, а первые 200 писем в месяц — бесплатно, чтобы протестировать доставляемость.

    127. WilliamFer on

      Любишь играть в WOW? прокачка персонажа WoW копить золото и проходить сложный контент в World of Warcraft вручную — долго. В магазине Мурловиль можно быстро и безопасно купить золото WoW, оформить подписку Game Time, заказать прокачку персонажа или буст рейдов и Мифик+. Актуально для Midnight, Classic и MoP, с гарантией и живой поддержкой — экономит десятки часов гринда.

    153. Kevinvox on

      Нові новини сьогодні украинская служба новостей політика, економіка, суспільство, події, культура, технології, спорт та події регіонів. Оперативні публікації, аналітичні матеріали, інтерв’ю, репортажі та важливі події України щодня.

    166. RobertLeank on

      Текстиль в гостиной formula comfort задает настроение сезона. Летом замените тяжелые портьеры на легкий лен или тюль. Зимой добавьте вязаные пледы и меховые подушки. Смена чехлов на диване обновляет интерьер без покупки новой мебели. Играйте с цветом: яркие подушки оживляют нейтральный диван. Это удобно.

    182. JerryFem on

      Все про ремонт https://geekometr.ru для начинающих и опытных мастеров. Статьи о черновой и чистовой отделке, ремонте кухни, ванной, спальни и других помещений, выборе материалов, инструментов, освещения и современных дизайнерских решений.

    183. Michaelpoona on

      Контент-завод https://u11.ru/blog/tpost/kontent-zavod-na-claude-kak-ya-avtomatiziroval/ на Claude для быстрого создания статей, описаний, SEO-текстов, карточек товаров, писем и другого контента. Автоматизируйте рутинные задачи, ускорьте публикации, настройте единый стиль и повысьте эффективность работы с текстами.

    184. RichardMut on

      Ищешь тур из СПБ или Москвы? https://republictravel.ru/tours/solovki/ путешествие в место, где переплелись северная природа, древний монастырь и драматичная история XX века. Закажите тур на Соловецкие острова и увидите крепость из валунов, систему каналов между озёрами и знаменитые лабиринты на Заяцком острове.

    185. Richardbep on

      Ищешь ключ TF2? https://tf2lavka.net/ выберите подходящее предложение и оформите покупку за несколько минут. Быстрая доставка, безопасная оплата, удобный интерфейс и актуальная информация о наличии ключей.

    186. HomerAgich on

      Карго рейтинг https://рейтинг-карго-компаний.рф по доставке из Китая в Москву поможет сравнить логистические компании, условия перевозки, сроки, стоимость и отзывы клиентов. Выбирайте надежных перевозчиков, изучайте рейтинги, обзоры и рекомендации для безопасной доставки грузов.

    187. delchina 160 on

      Доставка грузов https://delchina.ru из Китая в Россию с подбором оптимального маршрута и способа перевозки. Авто, железнодорожные, морские и авиаперевозки, таможенное оформление, консолидация грузов, страхование, сопровождение и контроль на всех этапах доставки.

    188. kopirych y on

      Копицентр «Копирыч» https://kopirych.by профессиональный партнер для тех, кому нужна качественная печать фото в городе минск и по всей Беларуси.

    190. neftegazlogistica 835 on

      Доставка дизельного топлива https://neftegazlogistica.ru в Москве для строительных площадок, предприятий, котельных, автопарков и частных клиентов. Оперативные поставки, топливо стандарта Евро-5, удобные объемы, сопровождение документами и доставка по согласованному графику.

    191. skillstaff2 102 on

      Внешние специалисты https://skillstaff2.ru ИП и самозанятые для ваших проектов. Подберите опытных исполнителей для разработки, маркетинга, дизайна, бухгалтерии, IT, продаж и других задач. Гибкое сотрудничество, быстрое подключение и профессиональная поддержка бизнеса.

    192. opus2003 z on

      Производство шпона https://opus2003.ru и продажа натурального шпона в Москве. В наличии широкий выбор пород древесины, материалы для мебели и интерьеров, изготовление под заказ, выгодные цены, помощь в подборе, оперативная доставка и консультации специалистов.

    193. digwel 696 on

      Колодцы под ключ https://digwel.ru в Московской области с полным комплексом работ: поиск водоносного слоя, копка, установка бетонных колец, герметизация, обустройство и ввод в эксплуатацию. Работаем в Москве и Подмосковье, соблюдаем сроки и используем качественные материалы.

    194. geo163 27 on

      Инженерные изыскания https://geo163.ru в Москве для строительства жилых, коммерческих и промышленных объектов. Выполняем геодезические, геологические, экологические и гидрометеорологические исследования, готовим технические отчеты и сопровождаем проект.

    195. reyting gruntovyh kompaniy 138 on

      Рейтинг грунтовых компаний https://рейтинг-грунтовых-компаний.рф поможет выбрать надежного поставщика плодородного, растительного, планировочного и других видов грунта. Сравнивайте цены, условия доставки, ассортимент, отзывы клиентов и качество обслуживания в одном каталоге.

    197. reyting postavschikov diztopliva 684 on

      Рейтинг поставщиков дизтоплива https://рейтинг-поставщиков-дизтоплива.рф поможет сравнить компании по качеству топлива, ценам, условиям поставки, скорости доставки и отзывам клиентов. Изучайте обзоры, оценки и выбирайте надежного поставщика для бизнеса и частных нужд.

    200. inzhenernye izyskaniya reyting 39 on

      Рейтинг геодезических https://инженерные-изыскания-рейтинг.рф и кадастровых компаний Москвы с актуальной информацией о стоимости услуг, опыте работы, сроках выполнения и репутации исполнителей. Сравнивайте предложения и находите надежных специалистов для вашего проекта.

    201. reshenie-an 785 on

      Решили купить квартиру? перейти проверим документы и застройщика, оценим юридическую чистоту объекта и безопасно сопроводим сделку на всех этапах — от выбора недвижимости до регистрации права собственности.

    203. JamesFeeld on

      Хочешь проверить разметку сайта? сервис проверки Schema.org сервис анализирует структурированные данные, выявляет ошибки и предупреждения, помогает проверить JSON-LD, Microdata, RDFa и улучшить корректность отображения информации в поисковых системах.

    209. JamesSib on

      Нужна автовышка? https://автовышкичебоксары.рф для любых высотных работ: монтаж, обслуживание зданий, мойка фасадов, обрезка деревьев, ремонт кровли и наружного освещения. Различная высота подъема, оперативная подача и гибкие тарифы.

    212. Georgesap on

      Балкон или лоджия formulacomfort.ru могут стать полноценной частью жилого пространства. Утепление и остекление превращают их в кабинет, зимний сад или зону отдыха. Плетеная мебель из ротанга или компактные складные столики создают летнее настроение круглый год. Добавьте мягкие подушки и пледы для уюта.

    219. DamonJoype on

      Если вам нужна занятия в автошколе где сочетаются доступная стоимость, качественное обучение и внимательное отношение к каждому ученику, значит вы попали по адресу. В автошколе качественная подготовка, современные автомобили и индивидуальный подход. Обучение легко совмещать с работой или учебой благодаря гибкому расписанию и дистанционной теории. Именно такое предложение многие ищут месяцами.

    222. MarkWPcm on

      При выборе новой системы стоит учитывать не только текущие потребности, но и возможность будущего апгрейда. Благодаря этому новый пк прослужит значительно дольше.

    Leave A Reply

    Home

    About Me

    © 2026 ThemeSphere. Designed by ThemeSphere.