APT28 проникла на верфь страны НАТО с новым загрузчиком ld.exe
Связанная с Россией группировка APT28, также известная как BlueDelta, Fancy Bear и Forest Blizzard, атаковала военно-морскую верфь в стране — члене НАТО и применила ранее не описанный отражающий загрузчик ld.exe. Symantec также зафиксировала цели среди правоохранительного органа и производителя двигателей для военной авиации.
Аналитики Symantec Threat Hunter Team отслеживают этот кластер под названием Swallowtail. В атаках использовался бэкдор HOOKEDGE, а новая утилита предназначена для расшифровки и запуска зашифрованной полезной нагрузки непосредственно в памяти. Ключ для расшифровки передаётся во время выполнения.
Доступ, кража учётных данных и туннель
При атаке на верфь в конце июля 2026 года операторы в течение недели неоднократно возвращались на уже скомпрометированный хост. Symantec описывает эту активность как действия с ручным управлением после получения доступа.
Для кражи учётных данных применялись два разных метода. В первом случае злоумышленники поместили на хост приватный SSH-ключ, немедленно подключились к своему серверу и запросили постоянный фоновый туннель. Такой канал давал им маршрут от собственной инфраструктуры во внутреннюю сеть организации.
Во втором случае был запущен короткий автономный скрипт PowerShell. Он создавал слушатель на loopback-адресе заражённой машины, принуждал её аутентифицироваться и перехватывал NTLM-рукопожатие.
Что известно о HOOKEDGE и ld.exe
HOOKEDGE впервые публично описала Recorded Future Insikt Group в августе 2026 года в связи с кибершпионажем против государственных и дипломатических структур Румынии, Испании и Турции в период с сентября 2025 года по начало апреля 2026 года. По коду и техникам бэкдор заметно пересекается с модульным Windows-имплантом HEADLACE, который APT28 применяла против дипломатов с апреля 2023 года.
Обычно HOOKEDGE доставлялся фишинговыми письмами с документами Microsoft Word с поддержкой макросов. Это минималистичный batch-скрипт Windows: он принимает команды атакующих и отправляет результаты. Ранее для постановки задач и получения вывода использовался webhook[.]site, а задачи загружались скрытым экземпляром Microsoft Edge.
В эпизоде с верфью варианты HOOKEDGE вместо webhook[.]site обращались к выделенному IP-адресу 185.82.218[.]119:443 для управления и вывода данных. Загрузчик ld.exe атакующие доставили через SSH командой curl. Он должен декодировать и запустить следующий компонент, но его точная функция пока не установлена.
Практический вывод
Сочетание кражи учётных данных, постоянного SSH-туннеля и исполнения нагрузки в памяти расширяет активность APT28 далеко за пределы начальной фишинговой доставки. Организациям с критической инфраструктурой стоит отдельно контролировать появление несанкционированных SSH-ключей, исходящие туннели, обращения к необычным адресам и нетипичные сценарии PowerShell на рабочих станциях и серверах.