Группа хакеров XDSpy, известная своей активностью с 2011 года, продолжает целенаправленные атаки на государственные учреждения Восточной Европы и России. В ходе последней кампании, начавшейся в марте 2025 года, злоумышленники использовали вредоносное ПО XDigo, а также уязвимость ZDI-CAN-25373 в обработке LNK-файлов Windows для скрытого выполнения команд.
Описание
Техника атаки
Атака начинается с рассылки фишинговых писем, содержащих ZIP-архивы с поддельными документами. Внутри архивов находятся LNK-файлы, эксплуатирующие уязвимость ZDI-CAN-25373, которая позволяет скрывать выполняемые команды от пользователя и систем мониторинга. После открытия LNK-файла запускается многоэтапная цепочка заражения:
- Первая стадия (ETDownloader) - вредоносный DLL-файл, загружаемый через механизм подмены легитимных библиотек (DLL sideloading). Он устанавливает постоянное присутствие в системе и загружает следующий этап атаки.
- Вторая стадия (XDigo) - имплант на языке Go, собирающий данные с зараженного компьютера, включая документы, скриншоты и содержимое буфера обмена.
Инфраструктура злоумышленников
Анализ инфраструктуры показал, что XDSpy использует домены, имитирующие файлообменные сервисы (например: vashazagruzka365[.]com, pdfdepozit[.]com), а также C2-серверы с рандомизированными названиями. Часть серверов перенаправляет трафик на крупные бинарные файлы (например, модели ИИ с HuggingFace), что затрудняет анализ.
Цели атак
Основными жертвами стали государственные организации Беларуси, России и других стран Восточной Европы. В частности, обнаружены атаки на учреждения, связанные с экономикой и региональным развитием.
Связь с прошлыми операциями
Исследователи обнаружили пересечения в инфраструктуре и методах атак с ранее зафиксированными кампаниями XDSpy. В частности, в 2023 году группа уже использовала аналогичные техники заражения через forfiles.exe и схожие домены.
Выводы
XDSpy остается одной из самых скрытных групп, специализирующихся на кибершпионаже. Их последняя кампания демонстрирует эволюцию методов обхода защиты и адаптацию под новые условия. Организациям в регионе рекомендуется усилить мониторинг подозрительных LNK-файлов и фишинговых писем, а также обновить системы для защиты от эксплуатируемых уязвимостей.
Индикаторы компрометации
