APT28: backdoorul Hookedge, contra apărării în două țări NATO

Grupul APT28, legat de serviciul de informații militare al Rusiei (GRU), a vizat un șantier naval, un producător de motoare pentru avioane militare și o agenție de aplicare a legii din două țări europene membre NATO. Campania a fost făcută publică marți, 20 octombrie, de Threat Hunter Team de la Symantec, într-un raport preluat de The Record, CyberScoop și The Hacker News. Cercetătorii nu au indicat nici țările, nici organizațiile afectate.

Ce s-a întâmplat

Potrivit Symantec, care urmărește grupul sub numele Swallowtail (alte nume: Fancy Bear, BlueDelta, Forest Blizzard), atacatorii au folosit Hookedge, un backdoor documentat pentru prima dată în august de Insikt Group de la Recorded Future. CyberScoop relatează că Insikt observase deja același grup folosind același backdoor, din septembrie 2025, împotriva unor ținte din domeniul apărării și al diplomației din România, Spania și Turcia.

Cazul descris cel mai detaliat este cel al șantierului naval:

• în iulie un angajat a deschis un document Word malițios primit ca atașament de e-mail;
• prima infectare confirmată datează din 24 iulie;
• atacatorii au explorat rețeaua internă și au încercat să fure credențiale de acces;
• în săptămâna următoare au revenit de mai multe ori pe aceeași mașină, cu activitate manuală („hands-on-keyboard”), și au instalat un loader nedocumentat până atunci;
• activități legate de atac au fost detectate până pe 24 septembrie.

Operațiunea a durat deci cel puțin două luni, dar potrivit The Record cercetătorii nu știu dacă accesul a fost continuu. Symantec nu a putut stabili dacă au fost sustrase date. Dick O’Brien, analist la Symantec, a explicat pentru The Record că în unele cazuri atacatorii au rămas în rețea câteva săptămâni și că, având în vedere natura țintelor, obiectivul erau probabil informații legate de apărare. Pentru CyberScoop a precizat că activitatea manuală confirmă că organizația era o țintă aleasă, nu o infectare accidentală. În opinia lui O’Brien, activitatea din septembrie, ulterioară raportului Insikt din august, arată că atacurile continuă.

Detalii tehnice

• Acces inițial: e-mail cu un atașament Word malițios. Sursele nu spun ce mecanism din document a declanșat infectarea (macro, vulnerabilitate sau altceva) și nu menționează CVE-uri.
• Hookedge: backdoor folosit pentru a pătrunde în sisteme, a fura credențiale și a aduna informații despre rețeaua victimelor (The Record).
• Loader nou, ld.exe: după cum a declarat O’Brien pentru CyberScoop, decriptează payload-ul în memorie și are nevoie de o cheie transmisă doar la execuție, în linia de comandă. Fără fișierul criptat și fără cheie, payload-ul nu poate fi recuperat: Symantec nu a reușit și nu îi cunoaște funcția. The Hacker News îl descrie, în titlu, drept un reflective loader.
• Infrastructură: tot potrivit lui O’Brien, atacatorii și-au mutat activitatea ulterioară cea mai sensibilă pe un server dedicat, în timp ce Recorded Future se aștepta să continue să alterneze servicii gratuite.
• MITRE ATT&CK (maparea noastră, pe baza activității descrise): T1566.001 (Spearphishing Attachment), T1204.002 (User Execution: Malicious File), T1018 (Remote System Discovery), accesul la credențiale (TA0006), T1140 (Deobfuscate/Decode Files or Information) și T1620 (Reflective Code Loading) pentru loader.
• Indicatori de compromitere: sursele nu publică niciunul, în afară de numele loaderului. Pentru hash-uri și infrastructură trebuie consultate raportul Symantec și cel din august al Insikt Group.

Contextul

APT28 desfășoară de peste zece ani campanii de spionaj împotriva organizațiilor militare, guvernamentale și din domeniul apărării din Europa și America de Nord. The Record amintește că în aprilie autoritățile britanice au avertizat că grupul a exploatat vulnerabilități ale routerelor pentru a redirecționa traficul web al victimelor, că anul acesta a vizat organizații maritime, de transport și diplomatice din Polonia, Slovenia, Turcia, Grecia și Emiratele Arabe Unite și că în 2025 peste 20 de agenții occidentale au publicat un avertisment comun despre atacurile asupra furnizorilor de logistică și tehnologie implicați în ajutorul pentru Ucraina. O’Brien, pentru CyberScoop, a sugerat o legătură cu campaniile împotriva țărilor care sprijină Ucraina, precizând însă că motivul nu este sigur.

Impactul pentru companiile europene și italiene

Sursele nu menționează victime italiene, dar România și Spania se numără printre țările atacate cu același backdoor. Profilul victimelor este clar: construcții navale, motoare de avion, forțe de ordine, adică industria de apărare și lanțul ei de furnizori. Construcția de nave și de aeronave intră la „fabricarea altor mijloace de transport” din anexa II a NIS2: pentru multe dintre aceste companii, și pentru furnizorii lor, gestionarea riscurilor și raportarea incidentelor sunt obligații, nu doar bune practici. Vectorul este cel mai obișnuit cu putință, un atașament Word: chiar și un subcontractor mic poate deveni poarta de intrare.

Ce să faci acum

1. Înăsprește regulile pentru atașamentele Office: blochează macrourile din fișierele venite de pe internet, împiedică aplicațiile Office să creeze procese copil și trimite în sandbox atașamentele de la expeditori externi.
2. Caută în loguri: execuții ale ld.exe în afara folderelor instrumentelor de dezvoltare, mai ales cu argumente lungi în linia de comandă, și procese pornite de Word sau de fișiere abia descărcate din e-mail. Ai nevoie de înregistrarea liniei de comandă a proceselor.
3. Verifică credențialele: autentificări neobișnuite, folosirea conturilor privilegiate de pe stații de birou, încercări de acces la memoria proceselor de autentificare.
4. Urmărește traficul de ieșire: conexiuni către servicii gratuite de găzduire și de partajare a fișierelor și către servere puțin cunoscute, de pe mașini care nu ar trebui să le folosească.
5. Importă indicatorii din rapoartele Symantec și Insikt Group în sistemele tale de detecție și caută retroactiv cel puțin până în septembrie 2025.
6. Implică lanțul de furnizori: dacă lucrezi în domeniul apărării, împărtășește aceleași verificări cu furnizorii care au acces la rețeaua sau la proiectele tale.

Cum ajută ARXDOME

ARX Sentry colectează loguri și evenimente de securitate de la computere, servere și firewalluri și le aduce în paginile SOC, unde procesele și autentificările neobișnuite ies în evidență. ARX Shield integrează consola antivirus/EDR, arată vulnerabilitățile deschise și îți permite să izolezi din rețea o mașină suspectă. Cu ARX Trace poți porni colectări și căutări pe mai multe mașini, utile pentru a căuta ld.exe și indicatorii publicați. ARX Horizon îmbogățește fiecare eveniment cu sursele de threat intelligence.

Ultima actualizare: 20 octombrie 2026