Шпионы XDSpy используют 0-day в Windows LNK для атак на госструктуры

Шпионы XDSpy используют 0-day в Windows LNK для атак на госструктуры

Шпионы XDSpy используют 0-day в Windows LNK для атак на госструктуры

Расследование, запущенное в HarfangLab по результатам анализа эксплойта нулевого дня, обнаруженного в LNK-файлах, показало, что он используется в рамках новой шпионской кампании XDSpy на территории Белоруссии и России.

Промышляющая шпионажем кибергруппа XDSpy интересуется секретами стран Восточной Европы с 2011 года. В минувшем марте злоумышленники возобновили атаки на госструктуры и частные компании.

Эксплойт к уязвимости в Windows, которую Microsoft отказалась патчить из-за ничтожного, по ее мнению, риска, применяется для доставки загрузчика, которого в HarfangLab нарекли ETDownloader.

Конечной целью подобных атак, по всей видимости, является развертывание стилера XDigo. В ходе исследования французские эксперты обнаружили ряд новых образцов написанного на Go трояна.

Девять подвергнутых анализу эксплойт-файлов LNK с именами «доказательство», «проект» и т. п., распространяются через так же названные, но на латинице, архивы, содержащие помимо LNK еще один ZIP.

При распаковке последнего высвобождаются переименованный легитимный экзешник с подписью Microsoft, маскировочный PDF и вредоносная DLL (ETDownloader) , загружаемая по методу sideloading.

 

Целевой стилер XDigo умеет воровать данные из браузеров (почти 30 имен) и клиентов имейл (Mozilla Thunderbird, Microsoft Outlook), отыскивать нужные файлы, извлекать содержимое из буфера обмена, делать скриншоты, а также выполнять команды на запуск бинарников, загруженных со стороннего сервера.

Выявленные мишени текущих атак XDSpy — минская компания с господдержкой, российские ретейлеры, финансисты, страховщики, почтовые госсервисы. Шпионы даже заточили самозащиту своих инструментов под цели в этих регионах: зловреды неизменно пытаются обойти PT Sandbox, сетевую песочницу в исполнении Positive Technologies.

Yandex Cloud поможет «СОГАЗу» и «Ингосстраху» оценивать киберриски

«СОГАЗ» и «Ингосстрах» вместе с Yandex B2B Tech запустили программы киберстрахования для бизнеса. Страховщики отвечают за финансовую защиту, а Yandex Cloud проверяет облачную инфраструктуру клиента и помогает понять, на каких условиях ему можно выдать полис.

Оценка проводится с помощью Yandex Security Deck. Сервис автоматически анализирует облачные ресурсы, приложения и данные: ищет открытые внутренние сведения, избыточные права пользователей, риски утечек и возможной компрометации инфраструктуры.

Обнаруженные проблемы собираются в одном интерфейсе и ранжируются по приоритету. Результаты получает сам клиент. Он может передать отчёт страховой компании, которая использует его при расчёте условий полиса. Если проверка обнаружит серьёзные дыры, Yandex Cloud предложит способы их закрыть.

Такой подход должен заменить традиционную анкету, которую бизнес заполняет вручную. Бумага, как известно, терпит всё: в ней можно забыть лишнего администратора или не заметить открытое хранилище. Автоматическая проверка показывает актуальное состояние облачной инфраструктуры и даёт страховщику больше данных для оценки риска.

Интерес к киберстрахованию тем временем растёт. По данным «СОГАЗа», за первое полугодие 2026 года совокупный объём страховой защиты от киберрисков, запрошенной клиентами компании, удвоился год к году и превысил 12 млрд рублей.

В результате бизнесу предлагают комплект из трёх деталей: диагностики, технической защиты и компенсации ущерба при инциденте. Страховщики получают более точную картину рисков, а клиент — шанс узнать о дыре в облаке до того, как её найдут злоумышленники. Потому что страховой полис — вещь полезная, но незакрытый бакет он всё-таки не починит.

RSS: Новости на портале Anti-Malware.ru