Связанную с APT28 программу HOOKEDGE использовали против европейских госструктур
По данным Recorded Future, с конца сентября 2025 года по начало апреля 2026-го вредоносная программа распространялась через Word-документы с дипломатическими приманками. Среди целей были государственные и дипломатические организации Румынии, Испании и Турции.
Исследователи Recorded Future обнаружили кампании с ранее не описанной бэкдор-программой HOOKEDGE, направленные против государственных и дипломатических организаций в Румынии, Испании и Турции. Активность фиксировали с конца сентября 2025 года до начала апреля 2026 года.
HOOKEDGE представляет собой лёгкий бэкдор для Windows, написанный в виде batch-скрипта. Его распространяли в документах Microsoft Word с поддержкой макросов и дипломатическими приманками. Ранние образцы маскировались под материалы испанских государственных органов, позднее злоумышленники сменили подход к социальной инженерии.
Для запуска вредоносной цепочки документ предлагает пользователю включить содержимое. После этого макрос создаёт в каталоге профиля пользователя шесть файлов и запускает установщик. Тот создаёт задачу планировщика, которая каждые 30 минут запускает загрузчик HOOKEDGE, а затем удаляет установочные файлы и описание задачи, чтобы сократить число следов на скомпрометированной системе.
Бэкдор периодически получает с сервиса webhook[.]site команды в виде файлов .cmd, исполняет их и отправляет результаты обратно через тот же сервис. Для HTTP-запросов программа запускает Microsoft Edge в безоконном режиме или в скрытом окне. После передачи данных временные файлы удаляются.
Recorded Future с умеренной уверенностью связывает кампанию с российской группировкой APT28, которую компания отслеживает под именем BlueDelta. Основанием стали совпадения в коде и тактиках с модульным бэкдором HEADLACE, который ранее применяли против дипломатов. В частности, оба инструмента используют webhook[.]site для управления, размещения полезной нагрузки и вывода данных.
Для особо ценных целей, как утверждают исследователи, применялся второй этап HOOKEDGE с интервалом связи до пяти минут. Такая схема позволяет отделить инфраструктуру первичного доступа от активного сбора данных и не исчерпать лимит бесплатного тарифа webhook[.]site: он ограничивает каждый уникальный конечный адрес 100 запросами.
Recorded Future рекомендует блокировать выполнение макросов в документах, полученных из интернета, а также отслеживать злоупотребление планировщиком задач, безоконный запуск Microsoft Edge и исходящие подключения к webhook-сервисам.