Κακόβουλο λογισμικό XDigo

Ερευνητές κυβερνοασφάλειας αποκάλυψαν μια νέα εκστρατεία κυβερνοκατασκοπείας που αφορούσε ένα stealer με βάση το Go, το οποίο ονομάζεται XDigo, το οποίο αναπτύχθηκε τον Μάρτιο του 2025 εναντίον κυβερνητικών οργανισμών της Ανατολικής Ευρώπης. Το κακόβουλο λογισμικό συνδέεται με την ομάδα συνεχιζόμενων απειλών XDSpy, η οποία δραστηριοποιείται στην περιοχή τουλάχιστον από το 2011.

Η Επιστροφή του XDSpy: Μια Δεκαετία Επιτήρησης

Η XDSpy είναι μια καλά τεκμηριωμένη ομάδα κυβερνοκατασκοπείας, γνωστή για τη στόχευση κυβερνητικών υπηρεσιών σε όλη την Ανατολική Ευρώπη και τα Βαλκάνια. Η XDSpy, η οποία αναλύθηκε δημόσια για πρώτη φορά το 2020, έχει διατηρήσει ένα σταθερό μοτίβο δραστηριότητας, εξελίσσοντας την εργαλειοθήκη και το εύρος στόχευσης με την πάροδο των ετών.

Πρόσφατες εκστρατείες που αποδίδονται στην ομάδα έχουν πλήξει οργανισμούς στη Ρωσία και τη Μολδαβία, αναπτύσσοντας οικογένειες κακόβουλου λογισμικού όπως το UTask, το XDDown και το DSDownloader—εργαλεία που έχουν σχεδιαστεί για τη λήψη πρόσθετων ωφέλιμων φορτίων και την απορρόφηση ευαίσθητων δεδομένων από μολυσμένα συστήματα.

Εκμεταλλεύσεις LNK: Ο κρυμμένος κίνδυνος πίσω από τις συντομεύσεις των Windows

Η καμπάνια XDigo χρησιμοποιεί μια αλυσίδα επιθέσεων πολλαπλών σταδίων που ξεκινά με αρχεία συντομεύσεων των Windows (.LNK), εκμεταλλευόμενη μια ευπάθεια απομακρυσμένης εκτέλεσης κώδικα στα Microsoft Windows που εντοπίστηκε ως ZDI-CAN-25373, η οποία αποκαλύφθηκε δημόσια τον Μάρτιο του 2025.

Αυτή η ευπάθεια προκύπτει από ακατάλληλο χειρισμό ειδικά κατασκευασμένων αρχείων LNK, επιτρέποντας στο κακόβουλο περιεχόμενο να παραμένει αόρατο στο περιβάλλον χρήστη, αλλά να εκτελεί κώδικα στο περιβάλλον του τρέχοντος χρήστη. Περαιτέρω έλεγχος αποκάλυψε ένα υποσύνολο εννέα τέτοιων αρχείων LNK, τα οποία εκμεταλλεύονταν ένα σφάλμα σύγχυσης ανάλυσης που προκλήθηκε από τη μερική εφαρμογή της προδιαγραφής MS-SHLLINK (v8.0) από τη Microsoft.

Σύγχυση Ανάλυσης: Προδιαγραφή vs. Υλοποίηση

Η προδιαγραφή MS-SHLLINK επιτρέπει μήκη συμβολοσειρών έως και 65.535 χαρακτήρες, αλλά τα Windows 11 περιορίζουν το πραγματικό περιεχόμενο σε 259 χαρακτήρες, με εξαίρεση τα ορίσματα γραμμής εντολών. Αυτή η αναντιστοιχία εισάγει ασυνέπειες στον τρόπο με τον οποίο ερμηνεύονται τα αρχεία LNK σε όλες τις πλατφόρμες.

Οι επιτιθέμενοι εκμεταλλεύονται αυτό το κενό δημιουργώντας αρχεία LNK που φαίνονται έγκυρα ή μη έγκυρα ανάλογα με τον αναλυτή, επιτρέποντας:

• Εκτέλεση μη αναμενόμενων ή κρυφών εντολών
• Αποφυγή ανίχνευσης τόσο από το περιβάλλον χρήστη των Windows όσο και από εργαλεία ανάλυσης τρίτων κατασκευαστών

Συνδυάζοντας αυτό με τεχνικές συμπλήρωσης κενών διαστημάτων, οι επιτιθέμενοι αποκρύπτουν αποτελεσματικά την πραγματική πρόθεση της συντόμευσης, αυξάνοντας τις πιθανότητες επιτυχούς εκτέλεσης χωρίς να ειδοποιούν τους χρήστες ή τα εργαλεία ασφαλείας.

Αλυσίδα μόλυνσης: Αρχεία ZIP, δολώματα και πλευρική φόρτωση DLL

Τα εννέα κακόβουλα αρχεία LNK που εντοπίστηκαν διανεμήθηκαν σε αρχεία ZIP, καθένα από τα οποία περιείχε ένα άλλο αρχείο ZIP που ομαδοποιούσε:

• Ένα έγγραφο PDF-δόλωμα
• Ένα νόμιμο εκτελέσιμο αρχείο μετονομάστηκε
• Ένα κακόβουλο DLL που φορτώθηκε παράπλευρα από το δυαδικό αρχείο

Αυτό το DLL, με το όνομα ETDownloader, χρησιμεύει ως ωφέλιμο φορτίο πρώτου σταδίου που έχει σχεδιαστεί για τη λήψη του κύριου εμφυτεύματος - XDigo.

XDigo: Ένας εξελιγμένος κλέφτης δεδομένων

Το XDigo είναι ένα εμφύτευμα κακόβουλου λογισμικού που βασίζεται στην πλατφόρμα Go και αξιολογείται ως εξέλιξη του UsrRunVGA.exe, το οποίο είχε προηγουμένως καταγραφεί τον Οκτώβριο του 2023. Είναι εξοπλισμένο για:

• Συγκέντρωση τοπικών αρχείων.
• Καταγράψτε το περιεχόμενο του προχείρου.
• Λήψη στιγμιότυπων οθόνης.
• Εκτέλεση εντολών ή δυαδικών αρχείων που έχουν ανακτηθεί από έναν απομακρυσμένο διακομιστή μέσω HTTP GET.
• Απομάκρυνση κλεμμένων δεδομένων χρησιμοποιώντας αιτήματα HTTP POST.

Αυτή η λειτουργικότητα επιβεβαιώνει τον ρόλο του XDigo ως ενός κλέφτη με προσανατολισμό στην κατασκοπεία, σχεδιασμένου για κρυφή συλλογή πληροφοριών.

Προφίλ στόχου και τακτική συνέπεια

Οι ερευνητές έχουν επιβεβαιώσει τουλάχιστον έναν στόχο στην περιοχή του Μινσκ, με περαιτέρω ενδείξεις να υποδεικνύουν επιχειρήσεις εναντίον ρωσικών ομίλων λιανικής, χρηματοπιστωτικών ιδρυμάτων, ασφαλιστικών εταιρειών και κυβερνητικών ταχυδρομικών υπηρεσιών. Αυτή η θυματολογία ευθυγραμμίζεται στενά με την ιστορική εστίαση του XDSpy, ιδίως στην Ανατολική Ευρώπη και τη Λευκορωσία.

Τεχνικές Διαφυγής και Τακτική Πολυπλοκότητα

Το XDSpy έχει επιδείξει ισχυρή ικανότητα αποφυγής των σύγχρονων αμυντικών συστημάτων. Αξίζει να σημειωθεί ότι το κακόβουλο λογισμικό τους ήταν το πρώτο που επιχείρησε να παρακάμψει μια συγκεκριμένη λύση sandbox, αντανακλώντας υψηλό βαθμό προσαρμογής και προσαρμοστικότητας ως απάντηση στα εξελισσόμενα τοπία ασφαλείας.

Σύνοψη: Βασικά Συμπεράσματα

Η καμπάνια XDigo παρουσιάζει ένα εξελιγμένο μείγμα τεχνικών και στρατηγικών στόχευσης. Περιλάμβανε την εκμετάλλευση μιας ευπάθειας των Windows που αναγνωρίστηκε ως ZDI-CAN-25373 μέσω ειδικά κατασκευασμένων αρχείων LNK, παράλληλα με την χειραγώγηση ασυνεπειών στην ανάλυση LNK για την απόκρυψη κακόβουλης δραστηριότητας. Οι εισβολείς βασίστηκαν επίσης στην παράπλευρη φόρτωση DLL χρησιμοποιώντας μετονομασμένα νόμιμα εκτελέσιμα αρχεία για τη φόρτωση παραπλανητικών στοιχείων. Η επικοινωνία με την υποδομή εντολών και ελέγχου και η εξαγωγή κλεμμένων δεδομένων πραγματοποιήθηκαν μέσω τυπικών πρωτοκόλλων HTTP, επιτρέποντας την μυστικότητα και την αποφυγή.

Όσον αφορά τη στόχευση, η εκστρατεία επικεντρώθηκε σε μεγάλο βαθμό σε κυβερνητικούς φορείς, ιδίως στη Λευκορωσία και τη Ρωσία. Επέκτεινε επίσης την εμβέλειά της στους χρηματοπιστωτικούς και λιανικούς τομείς, καθώς και σε μεγάλες ασφαλιστικές εταιρείες και εθνικές ταχυδρομικές υπηρεσίες. Αυτή η επιχείρηση υπογραμμίζει τη διαρκή καινοτομία των κρατικών φορέων απειλής και ενισχύει την κρίσιμη ανάγκη ελέγχου ακόμη και φαινομενικά ακίνδυνων τύπων αρχείων, όπως τα αρχεία LNK, για κρυφές απειλές.