XDSpy
Các hoạt động của một nhóm người kiểm tra vốn đã tránh được sự chú ý của cộng đồng infosec kể từ ít nhất là năm 2011 cuối cùng đã được đưa ra ánh sáng. Các nhà nghiên cứu đã gọi tập thể tội phạm là XDSpy và họ tin rằng đó là một APT (Mối đe dọa liên tục nâng cao) do nhà nước bảo trợ. Trụ sở hoạt động chính của XDSpy là Đông Âu và Balkans, với các mục tiêu từ các tổ chức tư nhân đến các tổ chức chính phủ.
Lần đầu tiên hoạt động của nhóm được phát hiện một cách chính xác là khi nhóm ứng phó khẩn cấp máy tính Belarus đưa ra cảnh báo rằng nhóm hacker giấu tên lúc đó đang cố gắng thu thập dữ liệu từ các bộ trong nước. Bên cạnh Belarus, XDSpy còn nhắm mục tiêu đến các thực thể ở Nga, Moldova, Ukraine và Serbia, trong số những thực thể khác. Các nạn nhân cho thấy một số lượng đáng kể các loại khác nhau, từ các tập đoàn đến các thực thể quân sự và ngoại giao. Các nhà nghiên cứu bảo mật nhận thấy rằng các tin tặc đã hoạt động trong 5 ngày làm việc và đồng bộ hóa các hoạt động của chúng với múi giờ địa phương của nạn nhân.
XDSpy dựa trên các công cụ phần mềm độc hại cơ bản nhưng hiệu quả
Bộ công cụ được sử dụng bởi XDSpy cho thấy ít chức năng phức tạp, nhưng điều đó không có nghĩa là nó không hiệu quả. Phương thức tấn công ưa thích của nhóm là lừa đảo trực tuyến, với các email chứa các tệp đính kèm bị nhiễm độc. Thông thường, đó là các tệp lưu trữ như tệp RAR hoặc ZIP, nhưng chúng cũng có thể là tệp Powerpoint hoặc LNK. Một số email bao gồm một liên kết đến tệp chứa mối đe dọa phần mềm độc hại. Cuộc tấn công được chia thành nhiều giai đoạn. Việc chạy tệp bị hỏng từ email sẽ thực thi một tập lệnh được giao nhiệm vụ tải xuống tải trọng chính có tên là XDDown. Sau khi được cài đặt thành công, XDDown có thể thả thêm các mô-đun phần mềm độc hại phù hợp với các mục tiêu cụ thể của tin tặc. Các tên được đặt cho tải trọng phụ là XDREcon, XDList, XDMonitor, XDUpload, XDLoc và XDPass.
Nhìn chung, các công cụ được XDSpy sử dụng bao gồm các kỹ thuật chống phân tích như làm xáo trộn chuỗi và tải thư viện API Windows động. Các hoạt động chính của họ trên hệ thống bị xâm nhập là theo dõi ổ đĩa di động, ảnh chụp màn hình và xâm nhập dữ liệu.
