Nuove campagne informatiche attribuite ad APT28 hanno preso di mira enti governativi e diplomatici in Romania, Spagna e Turchia tra settembre 2025 e aprile 2026, diffondendo il backdoor HOOKEDGE tramite documenti Word con macro malevoli.
Un recente rapporto dei ricercatori di sicurezza informatica ha rivelato una serie di attacchi mirati contro organizzazioni governative e diplomatiche in Romania, Spagna e Turchia, avvenuti tra la fine di settembre 2025 e l'inizio di aprile 2026. Secondo Recorded Future Insikt Group, queste campagne hanno portato alla diffusione di HOOKEDGE, un nuovo backdoor leggero per Windows, distribuito tramite documenti Microsoft Word abilitati alle macro e caratterizzati da temi diplomatici.
Le prime varianti del malware imitavano documenti ufficiali del governo spagnolo, per poi passare a tecniche di ingegneria sociale più sofisticate. L'attività è stata attribuita con moderata certezza al gruppo russo APT28 (noto anche come Fancy Bear e Forest Blizzard), identificato da Recorded Future con il nome BlueDelta. L'attribuzione si basa su forti somiglianze di codice e tecniche operative tra HOOKEDGE e HEADLACE, un altro backdoor modulare già utilizzato da APT28 dal 2023 contro obiettivi diplomatici. Entrambi sfruttano servizi come webhook.site per il command-and-control, la distribuzione dei payload e l'esfiltrazione dei dati, mascherando così il traffico malevolo tra quello legittimo e riducendo la necessità di infrastrutture dedicate.
Come funziona HOOKEDGE e le sue evoluzioni
HOOKEDGE viene veicolato principalmente tramite documenti Word con macro che, una volta aperti e abilitati dall'utente, scrivono sei file nella cartella "%userprofile%" e avviano la catena di installazione del malware. Il processo prevede la creazione di un'attività pianificata che esegue il launcher di HOOKEDGE ogni 30 minuti, mentre i file di installazione vengono poi cancellati per ridurre le tracce e complicare le indagini forensi. Inoltre, il documento di esca contiene un'immagine nascosta che, all'apertura, invia una notifica agli operatori tramite un URL webhook.site.
Il backdoor, scritto come script batch per Windows, entra in un ciclo di polling per ricevere comandi remoti, scaricare ed eseguire payload .cmd e inviare i risultati tramite Microsoft Edge in modalità headless o finestra nascosta. Dopo l'esecuzione, i file temporanei vengono eliminati e i processi associati terminati. BlueDelta ha anche utilizzato una seconda fase di HOOKEDGE per obiettivi di alto valore, con intervalli di comunicazione ridotti a cinque minuti, aumentando così il controllo operativo e la capacità di azioni post-compromissione.
Strategie di attacco e raccomandazioni difensive
La struttura a due fasi di HOOKEDGE permette agli attaccanti di aggirare i limiti imposti dal servizio webhook.site, che consente solo 100 richieste per endpoint nella versione gratuita. Spostando le vittime più rilevanti su endpoint dedicati nella seconda fase, BlueDelta separa l'infrastruttura di accesso iniziale da quella di raccolta attiva, evitando di esaurire rapidamente le risorse disponibili.
Questa strategia consente di identificare e colpire con maggiore intensità i bersagli di maggior interesse, mentre il gruppo continua a perfezionare le proprie tecniche per adattarsi alle difese e ai limiti infrastrutturali. Ad esempio, è stata rimossa la funzione di "canary" che registrava l'indirizzo IP della vittima all'apertura del documento, probabilmente per ridurre gli indicatori di compromissione rilevabili a livello di rete.
Per contrastare queste minacce, gli esperti consigliano di bloccare l'esecuzione di macro da documenti provenienti da Internet, monitorare l'abuso delle attività pianificate, l'uso di Microsoft Edge in modalità headless e le connessioni verso servizi webhook.
Implicazioni per la sicurezza europea
Secondo Recorded Future, BlueDelta continua a investire in strumenti di accesso iniziale leggeri e adattabili, puntando più sull'affinamento delle tecniche esistenti che sull'introduzione di nuove funzionalità. L'obiettivo resta la raccolta di informazioni da enti governativi e diplomatici europei, con una particolare attenzione alla resilienza operativa e all'aggiramento delle difese sempre più sofisticate.
