Специалисты F6 Threat Intelligence в ходе мониторинга угроз зафиксировали продолжительную активность киберпреступной группы, получившей обозначение xplogs22. Группировка известна с ноября 2023 года и специализируется на массовых фишинговых рассылках. Её цели - компании из самых разных отраслей, включая торговлю, энергетику, промышленность, науку, строительство, здравоохранение, информационные технологии, финансы, телекоммуникации, транспорт и добычу полезных ископаемых. Основной вектор атак - фишинговые письма, маскирующиеся под деловую переписку, преимущественно на тему оформления договоров. Большинство сообщений написано на русском языке, но встречаются также варианты на арабском, казахском, турецком и английском.
Описание
На раннем этапе xplogs22 использовала вредоносное ПО SnakeKeylogger, совмещающее функции стилера и кейлогера, а также стилер FormBook. Однако с июля 2025 года группировка перешла на троян удалённого доступа XWorm (XWorm RAT) на основе .NET, который впервые появился на хак-форумах в 2022 году. За год с небольшим, по данным аналитиков, злоумышленники разослали более 2900 фишинговых писем с XWorm. Кампания продолжается как минимум до июля 2026 года.
Название группировки происходит от электронного адреса xplogs22@yandex[.]com, который обнаружился в конфигурации одного из ранних образцов SnakeKeylogger: эксфильтрация украденных данных шла через SMTP на этот ящик. Позже адреса для сбора данных менялись, но связка с этим идентификатором сохранилась. Исследователи также выявили, что xplogs22 не ограничивается только странами СНГ. Организации в Западной Европе, на Ближнем Востоке, в Юго-Восточной Азии и даже в Северной и Южной Америке также попадают под удар. Тем не менее основной фокус остаётся на России, Беларуси, Казахстане, Армении, Азербайджане и Узбекистане.
Предоставленный анализ цепочки атак показывает, что группировка применяет несколько методов доставки полезной нагрузки. Наиболее распространённый сценарий - вложение в письмо заархивированного исполняемого файла (Contract.bz с Contract.exe внутри). После запуска дроппер создаёт копию в папке AppData\Roaming, закрепляется через ярлык в автозагрузке и извлекает XWorm из изображения методами стеганографии - данные вшиты в графический файл и декодируются в память. Версия XWorm в таких атаках - 6.0 (конфигурация содержит адрес C2-сервера 91[.]92[.]241[.]52:1012).
Второй вариант - использование скриптов .hta или .vbs вместо исполняемого файла. В архиве может лежать файл с расширением .hta, который после очистки от мусорных строк запускает PowerShell-скрипт. Тот загружает изображение с архива.org, извлекает из него .NET-сборку VMDetector Loader. Этот загрузчик проверяет среду на наличие виртуальной машины (VM) и затем скачивает финальный XWorm (версия 7.1) с легитимного сайта, сохраняет его как bin.exe, добавляет в автозагрузку и внедряет в процесс RegAsm.exe. Такая цепочка позволяет обходить многие средства защиты.
Аналитики отмечают, что xplogs22 консервативна в выборе инструментов и сценариев: темы писем почти всегда связаны с договорами или платежами (Contract, Payment, LOI), а имена вложений следуют шаблонам Contract_*.bz, MB*AE.rar и т.п. Отправители писем - либо скомпрометированные почтовые ящики российских и белорусских организаций, либо серверы группировки, включая те же IP-адреса, которые используются как C2. Применяется также спуфинг адресов отправителя.
С июля 2025 по июль 2026 года C2-серверы XWorm менялись неоднократно. На начало июля 2026 года активен адрес 109[.]248[.]150[.]234:443. Полный перечень включает восемь IP-адресов и доменов, часть из которых использует нетривиальные порты (1012, 1996, 8018). География атак крайне широка - от Бразилии до Японии, от Канады до ОАЭ. При этом большинство целей находится в России и странах СНГ.
Последствия успешной атаки включают кражу учётных данных, переписки, файлов, а также возможность удалённого управления заражённым устройством. XWorm позволяет не только собирать информацию, но и загружать дополнительные модули, что открывает путь к боковому перемещению внутри сети и дальнейшей эксфильтрации данных. Учитывая масштаб рассылок (тысячи писем), риск для бизнеса значителен: нарушение работы, утечка конфиденциальной информации, финансовые потери.
Группировка xplogs22 продолжит атаки в текущем сценарии, пока не изменит инструментарий или не столкнётся с эффективным противодействием. Компаниям, особенно в отраслях с высокой чувствительностью данных (финансы, энергетика, телекоммуникации), рекомендуется усилить фильтрацию входящих писем, обучить сотрудников распознавать фишинговые запросы, внедрить системы поведенческого анализа и своевременно обновлять средства защиты от программ-вымогателей и троянов удалённого доступа.
Индикаторы компрометации
