Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Velociraptor, tool per l’analisi forense digitale, è stato sfruttato per l’accesso remoto
Migrazione a Windows 11: le aziende devono affrontare molte sfide, ma qualsiasi ritardo è pericoloso
Android, più sicurezza con la verifica dell’identità sviluppatori
IoT, i dispositivi connessi sono ancora troppo esposti alle minacce: l’allarme di ACN
File Linux usati per furto di dati e spionaggio: la campagna di APT36

Invisibili per 9 anni: ESET accende i riflettori sul gruppo XDSpy

Ott 05, 2020 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS, Scenario 0

I cyber-spioni sarebbero attivi dal 2011, ma sarebbero riusciti a passare completamente inosservati fino a qualche mese fa.

Non capita spesso di individuare un nuovo protagonista nel panorama degli APT (Advanced Persistent Threat), i gruppi hacker che lavorano per conto di governi e servizi segreti. Più raro che mai è che i “nuovi arrivati” abbiano alle spalle quasi un decennio di attività nel settore del cyber-spionaggio.

Secondo i ricercatori di ESET, però, il gruppo battezzato come XDSpy sarebbe attivo fin dal 2011 e le loro operazioni sarebbero passate sottotraccia fino all’inizio del 2020, quando gli analisti si sono imbattuti in un malware che hanno definito “non particolarmente sofisticato”.

Nel loro report, i ricercatori spiegano che XDDown è un trojan modulare che integra diverse funzionalità: dalla raccolta di informazioni sul sistema, al furto di documenti e password, fino al tracciamento degli spostamenti attraverso il rilevamento delle connessioni alle reti Wi-Fi pubbliche.

Anche se il malware utilizzato dai pirati non è particolarmente complesso, i ricercatori di ESET hanno ricostruito parte dell’attività del gruppo, che avrebbe interessato principalmente l’Europa orientale e i Balcani. Nel dettaglio, gli hacker di XDSpy avrebbero colpito in Bielorussia, Moldavia, Russia, Serbia e Ucraina.

Il vettore di attacco utilizzato nelle campagne più recenti sarebbe rappresentato da classiche email di phishing, in buona parte facenti riferimento alla pandemia da Covid-19. Qualcosa di non molto originale, ma che evidentemente mantiene una sua efficacia.

La definizione di APT deriverebbe invece dal loro modus operandi, che secondo gli analisti avrebbe privilegiato l’offuscamento alla persistenza. In altre parole, il malware utilizzato da XDSpy integra alcune funzioni come l’eliminazione di alcuni plugin dopo un certo periodo di tempo che denota una maggiore attenzione alla necessità di rimanere “invisibili”.

Difficile capire quale sia la “paternità” del gruppo. Nel loro report, gli analisti rilevano come l’area di azione sia considerata normalmente appannaggio sia dei paesi facenti parte della NATO (con gli Stati Uniti come primi indiziati) sia del governo di Mosca.

Condividi l'articolo