APT28 napao brodograditelja NATO-a uz novi reflektivni učitavač
Grupa APT28, poznata i kao BlueDelta, Fancy Bear i Forest Blizzard, kompromitovala je vojnog brodograditelja u jednoj članici NATO-a tokom jula 2026. godine. Symantec Threat Hunter Team, koji ovaj klaster prati pod nazivom Swallowtail, zabeležio je upotrebu bekdora HOOKEDGE i ranije nedokumentovanog reflektivnog učitavača ld.exe.
Meta su, pored brodograditelja, bili organ za sprovođenje zakona i proizvođač motora za vojne avione u dve države članice NATO-a. Reč je o organizacijama koje raspolažu informacijama od interesa za stranu obaveštajnu službu.
Pristup, krađa akreditiva i trajni tunel
Tokom napada na brodograditelja operateri su se vraćali na kompromitovani sistem tokom jedne sedmice, što Symantec opisuje kao aktivnost u kojoj napadač neposredno upravlja radnjama na hostu. Ukrali su materijal za autentikaciju, otvorili trajni SSH tunel prema internoj mreži organizacije i postavili novi učitavač.
Prva zabeležena tehnika podrazumevala je postavljanje privatnog SSH ključa na kompromitovani računar. Napadači su ga odmah upotrebili za SSH vezu prema sopstvenom serveru i zatražili trajni tunel u pozadini, čime su dobili put od svoje infrastrukture do interne mreže mete.
Drugom tehnikom pokrenuta je kratka, samostalna PowerShell skripta. Ona je na lokalnoj loopback adresi podigla servis koji je naterao računar na autentikaciju i zabeležio rezultujući NTLM rukovanje.
Promena komunikacije i učitavanje u memoriji
HOOKEDGE je minimalni Windows batch skript koji prima komande napadača i vraća rezultate. Ranije je isporučivan kroz Microsoft Word dokumente sa omogućenim makroima, a za prijem zadataka i slanje izlaza koristio je webhook[.]site. Zaraženi sistemi preuzimali su zadatke preko skrivene instance pregledača Microsoft Edge.
Varijante korišćene protiv brodograditelja napustile su webhook[.]site i za upravljanje i eksfiltraciju koristile namensku adresu 185.82.218[.]119:443. Nakon pristupa preko SSH-a, napadači su komandom curl preuzeli ld.exe. Taj reflektivni učitavač dekodira i pokreće šifrovanu narednu komponentu u memoriji, dok tačna priroda tog korisnog tereta nije utvrđena.
HOOKEDGE ima značajna preklapanja u kodu i operativnim obrascima sa modularnim Windows implantatom HEADLACE, koji APT28 koristi protiv diplomata od aprila 2023. Recorded Future Insikt Group je upotrebu HOOKEDGE javno dokumentovao krajem avgusta 2026. u kampanji protiv državnih i diplomatskih organizacija u Rumuniji, Španiji i Turskoj.
Poslovni zaključak
Organizacije u odbrambenom i industrijskom lancu treba da tretiraju krađu akreditiva, neuobičajene odlazne SSH veze i trajne tunele kao povezane signale incidenta. Brzo ograničavanje kompromitovanih naloga, nadzor PowerShell aktivnosti i provera neočekivanog izvršavanja sadržaja u memoriji važni su za prekid kretanja napadača kroz mrežu.