Grupos de hackers associados à inteligência militar russa têm utilizado uma nova ferramenta maliciosa chamada HOOKEDGE em operações de espionagem direcionadas a organizações governamentais, diplomáticas e de defesa na Europa. A campanha, identificada por pesquisadores da PolySwarm e corroborada pela Recorded Future, destaca-se pelo uso de técnicas sofisticadas de evasão que misturam tráfego legítimo com atividades maliciosas.
O contexto da ameaça BlueDelta
A atividade está ligada ao grupo BlueDelta, avaliado como um ator patrocinado pelo estado russo associado ao GRU (Serviço Principal de Inteligência). Publicamente rastreado sob os nomes APT28, Fancy Bear e Forest Blizzard, o grupo tem histórico de alvos alinhados aos interesses de inteligência russos em assuntos políticos moldavos, manufatura de defesa e atividades adjacentes à OTAN. O uso do HOOKEDGE representa uma evolução das táticas anteriores, como o backdoor HEADLACE, adaptando-se às defesas modernas de segurança.
Mecanismo de infecção via documentos Office
O vetor inicial de ataque envolve e-mails de spearphishing contendo anexos do Microsoft Word habilitados para macros. As vítimas são induzidas a habilitar o conteúdo, o que desencadeia scripts ocultos enquanto uma mensagem de erro falsa do Word tenta disfarçar o comportamento suspeito. Uma vez executadas as macros, a rotina AutoOpen do documento escreve arquivos batch, VBScript, HTML e XHTML no diretório de perfil do usuário. Esses componentes iniciam um instalador multiestágio, criam uma tarefa agendada do Windows e removem rastros de instalação posteriormente.
Operação de polling e uso do Edge
O HOOKEDGE funciona como um backdoor de polling. Em intervalos definidos, ele abre o navegador Microsoft Edge para recuperar instruções de um endpoint de staging. O conteúdo retornado é unido em um arquivo de comando, executado e o resultado capturado. Uma segunda instância oculta do Edge envia a saída coletada para um endpoint separado, enquanto arquivos temporários e artefatos de download são deletados. Essa divisão entre tasking e roubo de dados ajuda os operadores a manterem um serviço comprometido sem expor toda a operação, evitando a necessidade de manter um servidor de comando convencional.
Técnicas de evasão e monitoramento
A campanha favorece acesso silencioso e de baixo custo sobre ferramentas chamativas. Ao fazer seu tráfego parecer originado do Microsoft Edge e de um serviço HTTPS, o backdoor torna-se mais difícil de separar da navegação legítima. Isso cria risco para organizações que dependem de comunicação baseada em documentos e informações políticas ou de defesa sensíveis. Equipes de segurança devem olhar além da reputação do domínio, pois o tráfego baseado em navegador para uma plataforma web legítima pode não se destacar sem monitoramento de processo e comportamento.
Indicadores de Comprometimento (IoCs)
Os pesquisadores observaram dois níveis de tratamento de vítimas. Uma primeira tarefa agendada poderia entrar em contato com os operadores a cada 30 minutos, enquanto vítimas selecionadas receberam outra instância do HOOKEDGE que verificava a entrada a cada cinco minutos. Os indicadores incluem o domínio webhook.site usado para recuperação de comandos e exfiltração, além de hashes SHA-256 específicos associados à atividade do malware. Arquivos como mailopened.jpg e docopened.jpg foram observados como canários de telemetria em operações de phishing.
Recomendações para CISOs e equipes de SOC
Defensores devem tratar anexos habilitados para macros não solicitados, especialmente aqueles ligados a temas diplomáticos ou administrativos, como alto risco. É essencial desabilitar ou controlar rigidamente macros de arquivos de origem da internet, revisar tarefas agendadas novas e modificadas, e correlacionar lançamentos suspeitos do Edge com shells de comando incomuns ou arquivos de script. Monitorar técnicas de persistência de tarefas agendadas pode expor atividades que varreduras simples de arquivo perdem. Equipes também devem preservar logs de endpoint e proxy antes de responder, já que o HOOKEDGE remove artefatos temporários que poderiam explicar a intrusão.
Conclusão e vigilância contínua
A detecção deve focar em relações: Word iniciando scripts, scripts registrando tarefas e Edge postando dados em caminhos de webhook incomuns. Esta abordagem orientada a comportamento permanece útil mesmo se os operadores substituírem seus endpoints ou reestruturarem levemente o malware. A atualização constante dos feeds de inteligência de ameaças e a aplicação rigorosa de políticas de restrição de macros são fundamentais para mitigar esse tipo de ameaça persistente avançada.