APT28: backdoor Hookedge contro la difesa in due paesi NATO

Il gruppo APT28, legato al servizio di intelligence militare russo (GRU), ha preso di mira un cantiere navale, un produttore di motori per aerei militari e un’agenzia delle forze dell’ordine in due paesi europei membri della NATO. Lo ha reso noto martedì 20 ottobre il Threat Hunter Team di Symantec, in un rapporto ripreso da The Record, CyberScoop e The Hacker News. I ricercatori non hanno indicato né i paesi né le organizzazioni colpite.

Cosa è successo

Secondo Symantec, che segue il gruppo con il nome Swallowtail (altri nomi: Fancy Bear, BlueDelta, Forest Blizzard), gli attaccanti hanno usato Hookedge, una backdoor documentata per la prima volta ad agosto da Insikt Group di Recorded Future. CyberScoop riporta che Insikt aveva già osservato lo stesso gruppo usare la stessa backdoor, da settembre 2025, contro obiettivi della difesa e della diplomazia in Romania, Spagna e Turchia.

Il caso descritto più nel dettaglio è quello del cantiere navale:

• a luglio un dipendente ha aperto un documento Word malevolo ricevuto come allegato di posta;
• la prima infezione confermata risale al 24 luglio;
• gli attaccanti hanno esplorato la rete interna e tentato di rubare credenziali di accesso;
• nella settimana successiva sono tornati più volte sulla stessa macchina, con attività manuale (“hands-on-keyboard”), e vi hanno installato un loader mai documentato prima;
• attività collegate sono state rilevate fino al 24 settembre.

L’operazione è durata quindi almeno due mesi, ma secondo The Record i ricercatori non sanno se l’accesso sia stato continuo. Symantec non ha potuto stabilire se siano stati sottratti dati. Dick O’Brien, analista di Symantec, ha spiegato a The Record che in alcuni casi gli attaccanti sono rimasti nella rete per alcune settimane e che, vista la natura dei bersagli, l’obiettivo erano verosimilmente informazioni sulla difesa. A CyberScoop ha precisato che l’attività manuale conferma che l’organizzazione era un bersaglio scelto, non un’infezione casuale. Per O’Brien, l’attività di settembre, successiva al rapporto di agosto di Insikt, indica che la campagna è ancora in corso.

Dettagli tecnici

• Accesso iniziale: email con allegato Word malevolo. Le fonti non dicono quale meccanismo del documento abbia avviato l’infezione (macro, vulnerabilità o altro) e non citano CVE.
• Hookedge: backdoor usata per entrare nei sistemi, rubare credenziali e raccogliere informazioni sulla rete delle vittime (The Record).
• Loader inedito ld.exe: secondo quanto O’Brien ha detto a CyberScoop, decifra il payload in memoria e richiede una chiave passata solo al momento dell’esecuzione, sulla riga di comando. Senza il file cifrato e la chiave il payload non si recupera: Symantec non ci è riuscita e non ne conosce la funzione. The Hacker News lo definisce, nel titolo, un reflective loader.
• Infrastruttura: sempre secondo O’Brien, gli attaccanti hanno spostato le attività successive più delicate su un server dedicato, mentre Recorded Future si aspettava che continuassero ad alternare servizi gratuiti.
• MITRE ATT&CK (nostra mappatura, sulle attività descritte): T1566.001 (Spearphishing Attachment), T1204.002 (User Execution: Malicious File), T1018 (Remote System Discovery), credential access (TA0006), T1140 (Deobfuscate/Decode Files or Information) e T1620 (Reflective Code Loading) per il loader.
• Indicatori di compromissione: le fonti non ne riportano, a parte il nome del loader. Per gli hash e l’infrastruttura vanno consultati il rapporto di Symantec e quello di agosto di Insikt Group.

Il contesto

APT28 conduce da oltre dieci anni campagne di spionaggio contro organizzazioni militari, governative e della difesa in Europa e Nord America. The Record ricorda che ad aprile le autorità britanniche hanno segnalato lo sfruttamento di vulnerabilità dei router per deviare il traffico web delle vittime, che quest’anno il gruppo ha colpito organizzazioni marittime, dei trasporti e diplomatiche in Polonia, Slovenia, Turchia, Grecia ed Emirati Arabi Uniti, e che nel 2025 oltre 20 agenzie occidentali hanno pubblicato un avviso congiunto sugli attacchi a fornitori di logistica e tecnologia coinvolti negli aiuti all’Ucraina. O’Brien, con CyberScoop, ha ipotizzato un legame con le campagne contro i paesi che sostengono l’Ucraina, precisando che il movente non è certo.

Impatto per le aziende europee e italiane

Le fonti non citano vittime italiane, ma la Romania e la Spagna compaiono tra i paesi colpiti con la stessa backdoor. Il profilo delle vittime è chiaro: cantieristica navale, motori aeronautici, forze dell’ordine, cioè industria della difesa e la sua filiera. La costruzione di navi e di aeromobili rientra nella “fabbricazione di altri mezzi di trasporto” dell’allegato II della NIS2: per molte di queste aziende, e per i loro fornitori, la gestione del rischio e la notifica degli incidenti sono obblighi, non buone pratiche. Il vettore è il più comune che ci sia, un allegato Word: anche un subfornitore piccolo può diventare la porta d’ingresso.

Cosa fare subito

1. Stringi le regole sugli allegati Office: blocca le macro nei file arrivati da internet, impedisci alle applicazioni Office di avviare processi figli e manda in sandbox gli allegati di mittenti esterni.
2. Cerca nei log: esecuzioni di ld.exe fuori dalle cartelle degli strumenti di sviluppo, soprattutto con argomenti lunghi sulla riga di comando, e processi avviati da Word o da file appena scaricati dalla posta. Serve la registrazione della riga di comando dei processi.
3. Controlla le credenziali: accessi anomali, uso di account privilegiati da postazioni d’ufficio, tentativi di accesso alla memoria dei processi di autenticazione.
4. Osserva il traffico in uscita: connessioni verso servizi gratuiti di hosting e di condivisione e verso server poco noti, partite da macchine che non dovrebbero usarli.
5. Importa gli indicatori dei rapporti di Symantec e di Insikt Group nei tuoi sistemi di rilevamento e cerca a ritroso almeno fino a settembre 2025.
6. Coinvolgi la filiera: se lavori per la difesa, condividi le stesse verifiche con i fornitori che hanno accesso alla tua rete o ai tuoi progetti.

Come aiuta ARXDOME

ARX Sentry raccoglie log ed eventi di sicurezza da computer, server e firewall e li porta nelle pagine del SOC, dove si notano processi e accessi anomali. ARX Shield integra la console antivirus/EDR, mostra le vulnerabilità aperte e permette di isolare dalla rete una macchina sospetta. Con ARX Trace si avviano raccolte e ricerche su più macchine, utili per cercare ld.exe e gli indicatori pubblicati. ARX Horizon arricchisce ogni evento con le fonti di threat intelligence.

Ultimo aggiornamento: 20 ottobre 2026