Рускиот APT28 пробил во бродоградилиште за воени бродови во земја членка на НАТО и употребил нов рефлективен loader

Хакерската група спонзорирана од државата, поврзана со Русија и позната како APT28 (позната и под имињата BlueDelta, Fancy Bear и Forest Blizzard), е поврзана со напади врз организации во две земји членки на Северноатлантската алијанса (НАТО).

Тимот Symantec Threat Hunter, кој ја следи оваа група активности под името Swallowtail, открил употреба на задна врата (backdoor) наречена HOOKEDGE и претходно недокументиран loader. Тој е дизајниран да дешифрира и извршува шифриран payload директно во меморијата, користејќи криптографски клуч што му се доставува во моментот на извршување.

Меѓу целите на нападите биле полициска агенција, бродоградилиште за воени бродови и производител на мотори за воени авиони. Станува збор за организации што располагаат со информации кои би можеле да бидат корисни за странска разузнавачка служба, соопшти единицата за разузнавање за закани на Broadcom.

„За време на еден напад врз бродоградилиштето, операторите постојано се враќале на компромитиран компјутер во текот на една недела, што изгледало како активност при која напаѓачите директно управуваат со тастатурата“, соопшти Symantec во извештај споделен со The Hacker News.

„Тие украле податоци за пристап користејќи две различни техники, воспоставиле постојан SSH-тунел кон внатрешната мрежа на организацијата и распоредиле претходно недокументиран рефлективен loader.“

Употребата на HOOKEDGE од страна на APT28 за првпат јавно беше документирана од Recorded Future Insikt Group кон крајот на август 2026 година. Тоа беше поврзано со кампања за кибершпионажа насочена кон владини и дипломатски организации во Романија, Шпанија и Турција, во периодот од септември 2025 до почетокот на април 2026 година.

HOOKEDGE има значителни сличности во кодот и методите на работа со HEADLACE, модуларен малициозен софтвер за Windows што APT28 го користи во напади врз дипломати од април 2023 година.

HOOKEDGE се доставува преку измамнички пораки за насочен фишинг (spear-phishing). Станува збор за едноставна Windows batch-скрипта што може да прима команди од напаѓачот и да ги испраќа резултатите назад.

Задната врата се доставува преку Microsoft Word документи со овозможени макроа и комуницира исклучиво преку URL-адреса на webhook[.]site, која служи како канал за доставување задачи и примање резултати од извршувањето. Заразените компјутери ги преземаат задачите преку скриена, невидлива инстанца на прелистувачот Microsoft Edge, наместо преку традиционален downloader.

Во нападот насочен кон бродоградилиштето кон крајот на јули 2026 година, напаѓачите, според извештајот, доставиле нови варијанти на HOOKEDGE што повеќе не користат webhook[.]site. Наместо тоа, користат посебна IP-адреса — 185.82.218[.]119:443 — и за добивање задачи и за извлекување податоци од компромитираниот систем.

„Напаѓачите користеле две различни техники за кражба на податоци за пристап“, соопшти Symantec.

„Во првиот случај, тие поставиле приватен SSH-клуч на компромитираниот компјутер и веднаш го искористиле за да воспостават SSH-врска со сопствениот сервер. Притоа побарале постојан тунел што работи во заднина и им овозможува пристап од нивната инфраструктура до внатрешната мрежа на целната организација.“

„Во вториот случај, тие извршиле кратка, самостојна PowerShell-скрипта што отвора слушач на локалната loopback-адреса на самиот компјутер и го принудува системот да се автентицира кон него, со што се снима резултирачкото NTLM-автентикациско разменување.“

Напаѓачите биле забележани и како поставуваат нов рефлективен loader (ld.exe) преку команда curl, извршена преку SSH. Loader-от е дизајниран да дешифрира и стартува компонента од следната фаза на нападот.

Точната природа на payload-от засега останува непозната.

Најновата активност била регистрирана на 24 септември 2026 година, кога во мрежата на бродоградилиштето била забележана VBScript-скрипта за стартување поврзана со HOOKEDGE. Не е јасно дали при овие упади биле украдени податоци.

„Методите забележани по почетниот пристап — кражба на податоци за пристап преку две независни техники, постојан мрежен тунел и претходно недокументиран loader — ги надминуваат механизмите за доставување што досега беа јавно пријавени во врска со оваа кампања“, соопшти Symantec.

Напади насочени кон Украина во првата половина на 2026 година

Во извештај објавен кон крајот на минатиот месец, украинскиот Тим за одговор на компјутерски итни случаи (CERT-UA) откри дека руските хакери сè почесто ги таргетираат паметните телефони на украински воени лица и владини функционери за шпионажа и напади мотивирани од финансиска корист.

„Сè поголемата улога на паметните телефони во комуникацијата меѓу воениот персонал, владините службеници и цивилите ги прави овие уреди попривлечни цели за собирање разузнавачки информации, дополнително компромитирање и напади мотивирани од финансиска корист“, соопшти агенцијата.

Ова вклучува употреба на експлоатацискиот пакет за iOS наречен DarkSword, кој се дистрибуира преку напади од типот watering hole. При овие напади, напаѓачите компромитираат легитимни украински медиумски и владини веб-страници за да извлекуваат чувствителни податоци од заразените уреди.

„Алатката е поврзана со руски хакерски групи, а нејзината употреба против украински цели укажува на зголемениот интерес на противникот за платформата iOS, која претходно се сметаше за релативно безбедна“, забележа агенцијата.

Овие наоди се совпаѓаат со извештајот на Google Threat Intelligence Group (GTIG) од март 2026 година. Во него, рускиот шпионски актер UNC6353 бил поврзан со употребата на експлоатациските пакети Coruna и DarkSword во watering-hole кампањи насочени кон украински корисници уште од летото 2025 година.

Заканите го опфаќаат и екосистемот Android. Хакерските групи UAC-0244 и UAC-0263 користат лажни апликации за доставување две различни семејства малициозен софтвер:

– UAC-0244 го дистрибуира CAMELSPY, кој собира системски информации за уредот, геолокациски податоци, информации за SIM-картичката, контакти, евиденција на повици и слики од галеријата.

– UAC-0263 го дистрибуира BTMOB RAT, кој му овозможува на напаѓачот да го контролира заразениот уред и да извлекува податоци од него.

CERT-UA соопштил и дека забележал како APT28 ги искористува ранливостите CVE-2026-21509, за заобиколување на безбедносна функција во Microsoft Office, и CVE-2026-8496, zero-click ранливост во веб-поштата SOGo.

Првата ранливост била искористена за доставување на малициозниот софтвер COVENANT, додека втората била користена за извлекување податоци за пристап и содржина од поштенските сандачиња на жртвите.

„Истовремено, актерот не ги напуштил постарите, испробани и проверени методи — кои, за жал, сè уште се ефикасни“, соопшти CERT-UA.

„Конкретно, биле забележани напади што ги искористуваат XSS-ранливостите во клиентот за веб-пошта Roundcube. За дополнително ширење на COVENANT биле користени и Excel документи што содржеле макроа.“

Овие напади се дел од вкупно 3.137 киберинциденти што CERT-UA ги регистрирал во првата половина на 2026 година. Тоа претставува проценет пораст од 8% во споредба со втората половина на 2025 година.

Во меѓувреме, компанијата Team Cymru соопшти дека идентификувала уште пет сервери за команда и контрола (C2) на LegionRelay, користени во напади врз украински организации.

IP-адресите на серверите се:

• 91.149.221[.]118:8000
• 91.149.221[.]123:8000
• 166.88.239[.]54:8000
• 194.87.108[.]12:8000
• 194.87.108[.]217:8000

LegionRelay е име за тројанец за далечински пристап (RAT) базиран на PowerShell. Тој поддржува пребарување и попишување датотеки, извлекување датотеки од системот, снимање слики од екранот, кражба на податоци од прелистувачите, извлекување податоци од Telegram и WhatsApp, како и воспоставување пристап преку RDP (Remote Desktop Protocol).

Овој малициозен софтвер му се припишува на хакерскиот актер наречен GREYVIBE, за кој се проценува дека спроведува долготрајни напади врз Украина и организации поврзани со Украина најмалку од август 2025 година.

Извори:

• The Hacker News – Russian APT28 Breaches NATO Naval Shipbuilder in NATO Country, Deploys New Reflective Loader The Hacker News