Tra la fine di settembre 2025 e i primi giorni di aprile 2026 sono state osservate nuove campagne di cyber spionaggio rivolte a organizzazioni governative e diplomatiche in Romania, Spagna e Turchia. Gli attaccanti hanno puntato su esche a tema diplomatico e su tecniche di social engineering per convincere i destinatari ad aprire documenti malevoli e abilitare le macro di Microsoft Word, un passaggio ancora oggi spesso sfruttato nelle intrusioni mirate contro enti pubblici.
Il fulcro dell’attacco è una backdoor denominata HOOKEDGE, descritta come un batch script leggero per Windows distribuito tramite documenti Word con macro. Una volta aperto il file e selezionato “Enable Content”, la macro avvia una catena di installazione che scrive più file nella cartella userprofile e configura la persistenza tramite una operazione comune nei malware moderni, ovvero la creazione di una scheduled task. Questa attività pianificata esegue a intervalli regolari un launcher che richiama la backdoor, consentendo agli operatori di mantenere l’accesso nel tempo. Per ridurre le tracce e complicare le analisi forensi, gli elementi dell’installer vengono poi eliminati, inclusi i file temporanei e alcune definizioni usate per la pianificazione.
Un dettaglio importante riguarda il canale di comando e controllo. HOOKEDGE utilizza servizi webhook per il C2, lo staging dei payload e la esfiltrazione dei dati. In pratica il malware entra in un ciclo di polling, recupera comandi sotto forma di file cmd, li esegue e invia l’output agli stessi endpoint. Per effettuare le richieste HTTP viene avviato Microsoft Edge in modalità headless o in finestra nascosta e al termine vengono rimossi i file temporanei e terminati i processi associati al task identificativo.
Sono stati rilevati anche casi con un secondo stadio destinato a obiettivi di alto valore con intervalli di beaconing fino a cinque minuti. Questa architettura a due stadi risponde anche a vincoli operativi come i limiti di richieste per endpoint nelle versioni gratuite dei servizi webhook, separando accesso iniziale e raccolta attiva per non esaurire rapidamente le quote.
Indicazioni difensive
- Bloccare l’esecuzione di macro provenienti da documenti scaricati da Internet.
- Monitorare abusi delle scheduled task.
- Rilevare l’uso anomalo di Edge in modalità headless.
- Controllare le connessioni in uscita verso servizi webhook.