Эксперты Центра кибербезопасности F.A.C.C.T. (ранее Group-IB в России) обнаружили новую волну фишинговой рассылки вредоносных писем, проводимую кибершпионской группой XDSpy. Рассылка нацелена на российские организации, включая один из известных научно-исследовательских институтов.

В тексте письма получателей просят посмотреть список сотрудников компании, которые «могут симпатизировать группам, дестабилизирующим внутреннюю ситуацию в России». Отправители письма угрожают, что в случае отсутствия ответа, против сотрудников будут приняты юридические меры.

Под видом файла-приманки Spisok_rabotnikov.pdf со списком случайных людей загружается вредоносная программа, которая собирает данные и документы с компьютера жертвы.

XDSpy пользовалась подобными техниками и раньше: в середине марта кибершпионы атаковали структуры МИДа России, а в октябре 2022 года — российские организации с фейковыми повестками от имени Минобороны.

Впервые группу XDSpy, атакующую организации России и Белоруссии, обнаружил белорусский CERT в феврале 2020 года, хотя эксперты считают, что сама группа активна как минимум с 2011 года. Несмотря на долгую историю XDSpy, международные специалисты так и не определились, в интересах какой страны работает эта группировка. Большинство целей группы находятся в России — это правительственные, военные, финансовые учреждения, а также энергетические, исследовательские и добывающие компании.