«Русские» хакеры из APT28 атаковали оборонные организации стран НАТО

Считающаяся русскоязычной хакерская группировка APT28 атаковала три организации в двух странах НАТО. Среди жертв оказались производитель военных кораблей, предприятие по выпуску двигателей для боевой авиации и правоохранительное ведомство. Команда Symantec Threat Hunter Team выяснила, что злоумышленники использовали бэкдор HOOKEDGE, похищали учётные данные и запускали ранее не описанный загрузчик ld.exe, который выполняет вредоносный код прямо в оперативной памяти.

APT28 известна под названиями Fancy Bear, Forest Blizzard, BlueDelta и Swallowtail. Американские ведомства предполагают, что группа якобы связана с российскими структурами, а её интересы лежат в военной, государственной и оборонной сферах Европы и Северной Америки. Названия пострадавших компаний и стран исследователи не раскрыли. Об атаке сообщили 20 октября 2026 года.

Вход через документ Word и невидимый браузер

Заражение началось 24 июля 2026 года, когда сотрудник судостроительной компании открыл полученный по почте документ Microsoft Word с вредоносным макросом. Вложение установило HOOKEDGE, бэкдор, который принимает команды операторов и возвращает результаты их выполнения. Код макроса намеренно запутали, и это затрудняло обнаружение по статическим признакам.

Сначала команды поступали через легитимный сервис webhook.site, предназначенный для приёма и просмотра HTTP-запросов. Получал их браузер Microsoft Edge, запущенный в окне размером 1 пиксель за пределами экрана, поэтому трафик терялся среди обычных соединений. Запуск Edge или обращение к webhook.site по отдельности ничего не доказывают, но в сочетании с необычными дочерними процессами они требуют внимания аналитиков. Первый этап атаки держался на трёх элементах:

• вредоносный макрос в письме с документом Word;
• бэкдор HOOKEDGE с командами через webhook.site;
• скрытый браузер Edge в окне размером 1 пиксель.

Кража учётных данных и постоянный туннель

Уже 27 июля операторы перешли на новую версию HOOKEDGE, которая отказалась от webhook.site в пользу IP-адреса 185.82.218.119 на порту 443. За 30 секунд специалисты зафиксировали семь заданий с интервалом в несколько секунд. По оценке Symantec, темп действий больше напоминает работу человека за клавиатурой, чем программу, действующую по расписанию. После закрепления в системе атакующие применили три приёма для получения учётных данных и скрытого доступа:

• закрытый SSH-ключ на заражённом компьютере, который открыл постоянный туннель во внутреннюю сеть вне канала HOOKEDGE;
• скрипт PowerShell, заставлявший машину пройти аутентификацию перед локальным слушателем;
• перехваченный NTLM-обмен для офлайн-подбора паролей и атак с ретрансляцией аутентификации.

Загрузчик работает прямо в памяти

31 июля исследователи обнаружили загрузчик ld.exe, который расшифровывает переданный ему файл и запускает содержимое непосредственно в памяти. Ключ расшифровки передаётся при запуске, и без него нагрузка не должна выполняться. Техника осложняет обнаружение средствами, которые анализируют файлы на диске, хотя сам принцип давно известен. Специалисты восстановили ключ и имя зашифрованного файла, но сам файл получить не удалось.

Активность в инфраструктуре судостроителя прослеживалась с 24 июля как минимум до 24 сентября 2026 года, то есть 63 календарных дня. В сентябре исследователи вновь зафиксировали VBScript-загрузчик, связанный с HOOKEDGE. Данные подтверждают повторные проявления активности, но не доказывают непрерывный контроль над сетью.

Аналитик Symantec Дик О’Брайен сообщил, что исследователям не удалось установить, была ли информация выведена из сети. Выбор целей позволяет предположить интерес к сведениям об оборонном производстве, военных возможностях и работе правоохранительных органов. Расследование оставило без ответа несколько вопросов:

• какую нагрузку должен был запускать ld.exe;
• удалось ли похитить конфиденциальные документы;
• вела ли группировка непрерывный контроль над сетью или возвращалась повторно.

Сам HOOKEDGE описала команда Insikt Group компании Recorded Future* в августе 2026 года, а по данным The Hacker News, он сходен по коду с инструментом APT28 HEADLACE, который применялся против дипломатов с апреля 2023 года.

Одной сигнатуры или блокировки IP-адреса недостаточно, потому что Edge, PowerShell и SSH нужны администраторам для работы, а webhook.site не является вредоносным сервисом. Эффективнее выявлять подозрительные сочетания действий. Российские компании используют те же Word, Edge, PowerShell и SSH, поэтому в журналах стоит поискать обращения к webhook.site и адресу 185.82.218.119, скрытые запуски Edge, неожиданные SSH-ключи и обратные туннели. Минимальный набор мер состоит из четырёх шагов:

• блокировка макросов в документах из интернета;
• многофакторная аутентификация с защитой от фишинга;
• ограничение соединений между сегментами сети;
• контроль административных учётных записей.

Эксперты CISOCLUB отметили, что кампания APT28 подтверждает эффективность атак на легитимных инструментах. Word, Edge, PowerShell и SSH есть на любой рабочей станции, поэтому защитникам приходится искать подозрительные сочетания событий, а не отдельные вредоносные файлы. Загрузчик в памяти снижает ценность проверок дисков и усиливает значение поведенческого анализа.

Для российских компаний вывод прикладной, поскольку макросы из внешних документов и неожиданные SSH-туннели одинаково опасны в любой стране. Присутствие группировки в сети, которое прослеживалось 63 дня, показывает цену медленной реакции на единичные срабатывания. Связать события почтового шлюза, Office, PowerShell и периметра в единую цепочку расследования стоит заранее.

Ранее сообщалось, что исследователи выявили новую фишинговую кампанию группировки APT28, направленную против государственных учреждений Украины. Для распространения вредоносного ПО злоумышленники используют зашифрованные чаты в мессенджере Signal. В рамках этой операции атакующие распространяют ранее неизвестные вредоносные программы BeardShell и SlimAgent.

*Recorded Future (организация, признанная нежелательной в России в соответствии с решением Генпрокуратуры РФ)