XDSpy
Οι δραστηριότητες μιας ομάδας ελεγκτών που έχει διαφύγει της προσοχής της κοινότητας του infosec τουλάχιστον από το 2011, ήρθαν τελικά στο φως. Οι ερευνητές ονόμασαν την εγκληματική ομάδα XDSpy και πιστεύουν ότι είναι μια κρατική χορηγία APT (Advanced Persistent Threat). Το κύριο θέατρο λειτουργίας του XDSpy είναι η Ανατολική Ευρώπη και τα Βαλκάνια, με τους στόχους του να κυμαίνονται από ιδιωτικούς φορείς έως κυβερνητικούς οργανισμούς.
Η πρώτη φορά που οι επιχειρήσεις της ομάδας εντοπίστηκαν οριστικά ήταν όταν η Λευκορωσική ομάδα αντιμετώπισης έκτακτης ανάγκης υπολογιστών δημοσίευσε μια προειδοποίηση ότι η τότε ανώνυμη ομάδα χάκερ προσπαθούσε να συλλέξει δεδομένα από υπουργεία της χώρας. Εκτός από τη Λευκορωσία, το XDSpy έχει στοχεύσει οντότητες που βρίσκονται στη Ρωσία, τη Μολδαβία, την Ουκρανία και τη Σερβία, μεταξύ άλλων. Τα θύματα παρουσιάζουν έναν σημαντικό αριθμό διαφορετικών τύπων, που κυμαίνονται από εταιρείες έως στρατιωτικές και διπλωματικές οντότητες. Οι ερευνητές ασφαλείας παρατήρησαν ότι οι χάκερ λειτουργούσαν με πενθήμερο τρόπο εργασίας και συγχρονίζουν τις δραστηριότητές τους με την τοπική ζώνη ώρας των θυμάτων.
XDSpy Βασιστείτε σε βασικά αλλά αποτελεσματικά εργαλεία κακόβουλου λογισμικού
Η εργαλειοθήκη που χρησιμοποιεί το XDSpy δείχνει ελάχιστα από την άποψη της εξελιγμένης λειτουργικότητας, αλλά αυτό σε καμία περίπτωση δεν σημαίνει ότι δεν είναι αποτελεσματικό. Ο προτιμώμενος φορέας επίθεσης της ομάδας είναι το spear-phishing, με email που φέρουν δηλητηριασμένα συνημμένα. Συνήθως, αυτά είναι αρχεία όπως αρχεία RAR ή ZIP, αλλά θα μπορούσαν επίσης να είναι αρχεία Powerpoint ή LNK. Ορισμένα μηνύματα ηλεκτρονικού ταχυδρομείου περιλάμβαναν έναν σύνδεσμο προς το αρχείο που φέρει την απειλή κακόβουλου λογισμικού. Η ίδια η επίθεση χωρίστηκε σε πολλαπλά στάδια. Η εκτέλεση του κατεστραμμένου αρχείου από το email εκτελεί ένα σενάριο που έχει ως αποστολή τη λήψη του κύριου ωφέλιμου φορτίου που ονομάζεται XDDown. Μόλις εγκατασταθεί με επιτυχία, το XDDown μπορεί να απορρίψει πρόσθετες μονάδες κακόβουλου λογισμικού σύμφωνα με τους συγκεκριμένους στόχους των χάκερ. Τα ονόματα που δίνονται στα δευτερεύοντα ωφέλιμα φορτία είναι XDREcon, XDList, XDMonitor, XDUpload, XDLoc και XDPass.
Στο σύνολό τους, τα εργαλεία που χρησιμοποίησε το XDSpy περιελάμβαναν τεχνικές κατά της ανάλυσης, όπως η συσκότιση συμβολοσειρών και η δυναμική φόρτωση της βιβλιοθήκης API των Windows. Οι κύριες δραστηριότητές τους στο παραβιασμένο σύστημα ήταν η παρακολούθηση αφαιρούμενων μονάδων δίσκου, στιγμιότυπων οθόνης και εξαγωγής δεδομένων.
