Дипломатов трёх стран Европы атаковали через документы Word с макросами
Иллюстрация: recordedfuture.com
Первичным вектором заражения, по данным исследователей, служил документ Microsoft Word с макросами: жертве предлагали нажать кнопку разрешения активного содержимого, чтобы увидеть текст. После этого макрос записывал в пользовательский каталог шесть файлов и запускал цепочку установки бэкдора. Ранние версии приманок имитировали материалы испанских государственных органов, а примерно через месяц злоумышленники перешли к другим приёмам социальной инженерии, рассказали в подразделении Insikt Group компании Recorded Future.
Как устроен бэкдор
Установщик создавал в системе запланированную задачу, которая каждые полчаса запускала загрузчик HOOKEDGE. Затем основной установочный компонент удалял сам себя, вспомогательный запускающий файл и описание задачи — это сокращало объём оставляемых следов и осложняло работу специалистов по реагированию на инциденты. В документ-приманку было встроено и скрытое изображение со ссылкой на сервис webhook[.]site: обращение к нему уведомляло операторов о том, что файл открыли.
Сам HOOKEDGE описывается как несложный командный сценарий, работающий в режиме постоянного опроса. Он забирает с промежуточной конечной точки произвольные cmd-файлы, выполняет их и отправляет результат обратно в виде HTML-документа. Запросы выполняются через браузер Microsoft Edge, который запускается в фоновом режиме или в скрытом окне. После передачи данных временные файлы удаляются, а процессы с соответствующим заголовком окна принудительно завершаются.
Две ступени и лимиты бесплатного сервиса
Против наиболее ценных, с точки зрения атакующих, целей, как утверждают аналитики, разворачивалась вторая ступень бэкдора с интервалом обращения к серверу всего в пять минут. Это давало операторам больше возможностей для интерактивной работы в скомпрометированной сети. Одновременно решалась инфраструктурная задача: бесплатный тариф webhook[.]site допускает не более ста запросов к одной конечной точке, поэтому при получасовом интервале лимит исчерпывался примерно за двое-трое суток.
По версии исследователей, разделение на два контура позволяет отделить инфраструктуру первоначального доступа от той, через которую ведётся сбор информации. На первом этапе, как предполагается, определяются жертвы, представляющие наибольший разведывательный интерес, и уже против них наращивается активность. В компании также обратили внимание, что из более поздних версий приманки исчез механизм фиксации IP-адреса при открытии документа — вероятной причиной называют стремление уменьшить число сетевых индикаторов компрометации.
Чем обосновывают связь с APT28
Активность со средней степенью уверенности приписывают группировке APT28, известной также под названиями Fancy Bear и Forest Blizzard; в Recorded Future её отслеживают под обозначением BlueDelta и, по версии компании, относят к структурам, якобы связанным с российским государством. Аргументами называют существенные совпадения в базовой архитектуре кода и приёмах работы между HOOKEDGE и бэкдором HEADLACE, который, как сообщили ранее, использовался в атаках на дипломатов с апреля 2023 года. Схожим признаком считают и опору на публичные сервисы веб-хуков для управления, промежуточного размещения полезной нагрузки и вывода данных: такой подход позволяет маскировать вредоносный трафик под обычный и обходиться без собственной инфраструктуры. Новый инструмент в отчёте характеризуют как прямое эволюционное продолжение HEADLACE, отмечая, что имплант непрерывно дорабатывался с сентября 2025-го по апрель 2026 года — предположительно, ради обхода автоматических песочниц и адаптации к урезанным лимитам бесплатного тарифа.
Что рекомендуют защитникам
Организациям советуют в первую очередь блокировать выполнение макросов в документах, полученных из интернета. Дополнительно рекомендуется настроить обнаружение злоупотреблений планировщиком задач, запусков Microsoft Edge в фоновом режиме и исходящих подключений к сервисам веб-хуков. По оценке аналитиков, группировка не создаёт принципиально новых возможностей, а последовательно совершенствует уже имеющийся инструментарий, подстраивая его под меняющиеся защитные меры и ограничения инфраструктуры.
Приведённые сведения основаны на отчёте Recorded Future и публикации The Hacker News. Атрибуция атак конкретной группировке и утверждения о её предполагаемой государственной принадлежности отражают позицию авторов исследования и не имеют независимого подтверждения.
