APT28: backdoor Hookedge contra la defensa en dos países OTAN

El grupo APT28, vinculado al servicio de inteligencia militar ruso (GRU), atacó un astillero naval, un fabricante de motores para aviones militares y una agencia de las fuerzas del orden en dos países europeos miembros de la OTAN. Lo dio a conocer el martes 20 de octubre el Threat Hunter Team de Symantec, en un informe recogido por The Record, CyberScoop y The Hacker News. Los investigadores no han indicado ni los países ni las organizaciones afectadas.

Qué ha pasado

Según Symantec, que sigue al grupo con el nombre Swallowtail (otros nombres: Fancy Bear, BlueDelta, Forest Blizzard), los atacantes usaron Hookedge, una backdoor documentada por primera vez en agosto por Insikt Group de Recorded Future. CyberScoop informa de que Insikt ya había observado al mismo grupo usar la misma backdoor, desde septiembre de 2025, contra objetivos de la defensa y la diplomacia en Rumanía, España y Turquía.

El caso descrito con más detalle es el del astillero:

• en julio un empleado abrió un documento Word malicioso recibido como adjunto de correo;
• la primera infección confirmada data del 24 de julio;
• los atacantes exploraron la red interna e intentaron robar credenciales de acceso;
• durante la semana siguiente volvieron varias veces a la misma máquina, con actividad manual («hands-on-keyboard»), e instalaron un loader nunca documentado antes;
• se detectó actividad relacionada hasta el 24 de septiembre.

La operación duró por tanto al menos dos meses, pero según The Record los investigadores no saben si el acceso fue continuo. Symantec no ha podido determinar si se robaron datos. Dick O’Brien, analista de Symantec, explicó a The Record que en algunos casos los atacantes permanecieron en la red durante varias semanas y que, dada la naturaleza de los objetivos, lo que buscaban era probablemente información de defensa. A CyberScoop le precisó que la actividad manual confirma que la organización era un objetivo elegido, no una infección casual. Para O’Brien, la actividad de septiembre, posterior al informe de agosto de Insikt, indica que la campaña sigue en curso.

Detalles técnicos

• Acceso inicial: correo con un adjunto Word malicioso. Las fuentes no dicen qué mecanismo del documento activó la infección (macro, vulnerabilidad u otro) y no citan CVE.
• Hookedge: backdoor usada para entrar en los sistemas, robar credenciales y recopilar información sobre la red de las víctimas (The Record).
• Loader inédito ld.exe: según lo que O’Brien contó a CyberScoop, descifra el payload en memoria y necesita una clave que se pasa solo en el momento de la ejecución, en la línea de comandos. Sin el archivo cifrado y la clave, el payload no se puede recuperar: Symantec no lo consiguió y no conoce su función. The Hacker News lo define, en su titular, como un reflective loader.
• Infraestructura: también según O’Brien, los atacantes trasladaron la actividad posterior más delicada a un servidor dedicado, mientras que Recorded Future esperaba que siguieran alternando servicios gratuitos.
• MITRE ATT&CK (mapeo nuestro, a partir de la actividad descrita): T1566.001 (Spearphishing Attachment), T1204.002 (User Execution: Malicious File), T1018 (Remote System Discovery), acceso a credenciales (TA0006), T1140 (Deobfuscate/Decode Files or Information) y T1620 (Reflective Code Loading) para el loader.
• Indicadores de compromiso: las fuentes no publican ninguno, aparte del nombre del loader. Para hashes e infraestructura hay que consultar el informe de Symantec y el de agosto de Insikt Group.

El contexto

APT28 lleva más de diez años realizando campañas de espionaje contra organizaciones militares, gubernamentales y de defensa en Europa y Norteamérica. The Record recuerda que en abril las autoridades británicas advirtieron de la explotación de vulnerabilidades de routers para desviar el tráfico web de las víctimas, que este año el grupo atacó organizaciones marítimas, de transporte y diplomáticas en Polonia, Eslovenia, Turquía, Grecia y Emiratos Árabes Unidos, y que en 2025 más de 20 agencias occidentales publicaron un aviso conjunto sobre los ataques a proveedores de logística y tecnología implicados en la ayuda a Ucrania. O’Brien, en declaraciones a CyberScoop, apuntó a un posible vínculo con las campañas contra los países que apoyan a Ucrania, aunque precisó que el móvil no es seguro.

Impacto para las empresas europeas e italianas

Las fuentes no citan víctimas italianas, pero Rumanía y España figuran entre los países atacados con la misma backdoor. El perfil de las víctimas es claro: construcción naval, motores aeronáuticos, fuerzas del orden, es decir, la industria de defensa y su cadena de suministro. La construcción de buques y aeronaves entra en la «fabricación de otro material de transporte» del anexo II de la NIS2: para muchas de estas empresas, y para sus proveedores, la gestión del riesgo y la notificación de incidentes son obligaciones, no buenas prácticas. El vector es el más común que existe, un adjunto Word: incluso un pequeño subcontratista puede convertirse en la puerta de entrada.

Qué hacer ya

1. Endurece las reglas sobre los adjuntos de Office: bloquea las macros en los archivos que llegan de internet, impide que las aplicaciones de Office creen procesos hijos y envía a sandbox los adjuntos de remitentes externos.
2. Busca en los logs: ejecuciones de ld.exe fuera de las carpetas de herramientas de desarrollo, sobre todo con argumentos largos en la línea de comandos, y procesos iniciados por Word o por archivos recién descargados del correo. Necesitas el registro de la línea de comandos de los procesos.
3. Revisa las credenciales: accesos anómalos, uso de cuentas privilegiadas desde puestos de oficina, intentos de acceso a la memoria de los procesos de autenticación.
4. Vigila el tráfico saliente: conexiones a servicios gratuitos de alojamiento y de intercambio de archivos y a servidores poco conocidos, desde máquinas que no deberían usarlos.
5. Importa los indicadores de los informes de Symantec e Insikt Group en tus sistemas de detección y busca hacia atrás al menos hasta septiembre de 2025.
6. Implica a tu cadena de suministro: si trabajas para la defensa, comparte las mismas comprobaciones con los proveedores que tienen acceso a tu red o a tus proyectos.

Cómo ayuda ARXDOME

ARX Sentry recoge logs y eventos de seguridad de ordenadores, servidores y firewalls y los lleva a las páginas del SOC, donde destacan los procesos y accesos anómalos. ARX Shield integra la consola antivirus/EDR, muestra las vulnerabilidades abiertas y permite aislar de la red una máquina sospechosa. Con ARX Trace puedes lanzar recopilaciones y búsquedas en varias máquinas, útiles para buscar ld.exe y los indicadores publicados. ARX Horizon enriquece cada evento con las fuentes de threat intelligence.

Última actualización: 20 de octubre de 2026