Il gruppo di minaccia legato alla Russia noto come APT28 è stato associato a una nuova ondata di attacchi di cyber spionaggio contro due stati membri della NATO. Le attività osservate hanno preso di mira organizzazioni ad alto valore informativo, tra cui un ente di polizia, un cantiere navale e un produttore di motori per aerei militari, con l’obiettivo di ottenere accesso persistente e raccogliere credenziali utili per ulteriori movimenti laterali.
Al centro della campagna compare HOOKEDGE, una backdoor per sistemi Windows, insieme a un nuovo reflective loader non documentato in precedenza. HOOKEDGE risulta collegato a tecniche già viste in altre operazioni attribuite ad APT28 e si distingue per un impianto modulare e leggero, capace di ricevere comandi e inviare i risultati agli attaccanti. La catena di infezione include documenti Microsoft Word con macro, una tecnica ancora efficace per l’initial access quando i controlli non bloccano l’esecuzione di contenuti attivi.
Un dettaglio rilevante per la sicurezza informatica è il metodo di comunicazione. In alcune varianti HOOKEDGE utilizza un browser Microsoft Edge avviato in modo nascosto per recuperare task e trasmettere output, riducendo la necessità di downloader tradizionali. In un attacco contro il cantiere navale, gli operatori hanno inoltre modificato l’infrastruttura di comando e controllo, abbandonando servizi intermedi a favore di un indirizzo IP dedicato su porta 443, usato sia per il tasking sia per l’esfiltrazione.
La fase post-compromissione mostra un approccio hands-on keyboard con ritorni ripetuti sul sistema infetto nell’arco di una settimana. Sono state osservate due tecniche distinte di furto credenziali. La prima prevede il caricamento di una chiave privata SSH sulla macchina compromessa e l’apertura immediata di una connessione verso un server controllato dagli attaccanti, richiedendo un tunnel SSH persistente in background per accedere alla rete interna. La seconda utilizza uno script PowerShell compatto che crea un listener su loopback e forza l’autenticazione, catturando l’handshake NTLM.
Gli attaccanti hanno anche distribuito un reflective loader denominato ld.exe tramite curl eseguito via SSH, progettato per decodificare ed eseguire in memoria un payload cifrato con chiave fornita a runtime. La natura del payload finale non è stata chiarita, ma la scelta dell’esecuzione in memoria indica una ricerca di maggiore stealth e resistenza ai controlli basati su file.