ロシア国家に関連する脅威アクター「BlueDelta」(APT28、Fancy Bear、Forest Blizzardとも呼ばれる)が、HOOKEDGEと呼ばれる軽量なWindowsバックドアを用いたフィッシングキャンペーンを展開していることが明らかになりました。
この活動は2025年9月下旬から2026年4月上旬にかけて、ルーマニア、スペイン、トルコの政府機関、外交機関、防衛関連製造企業を標的にしていました。
Insikt Groupは、中程度の確信度でBlueDeltaがこの活動を実施したと評価しています。
この評価は、HOOKEDGEと、同グループに以前関連付けられていたバッチスクリプト型バックドア「HEADLACE」との間に見られるコード、インフラ、運用上の類似性に基づいています。BlueDeltaは、ロシアのGRU軍事情報機関と広く関連付けられています。
このキャンペーンは、おそらくスピアフィッシングメールを通じて配布されたと見られる、マクロ付きのMicrosoft Word文書から始まります。
初期のサンプルでは、スペインの大統領府・司法・国会関係省を装った外交をテーマとする文書がおとりとして使われていました。その後の文書では、受信者に「コンテンツの有効化」をクリックするよう促す汎用的なメッセージが使われるようになりました。
マクロが有効化されると、悪意ある文書は被害者のユーザープロファイルディレクトリに複数のファイルを展開し、インストーラーの実行チェーンを開始します。
このインストーラーは永続化のためのスケジュールタスクを作成した後、侵害されたシステム上の痕跡を減らすため、自らと関連するインストールファイルを削除します。
HOOKEDGEは、コマンドを取得・実行し、その結果を攻撃者に送信するよう設計されたWindowsバッチスクリプト型バックドアです。
攻撃者が管理するサーバーを使う代わりに、正規のプラットフォームであるwebhook.siteをコマンド&コントロール、ペイロードのホスティング、データ窃取に悪用しています。
このマルウェアは、コマンドの取得とデータの窃取の両方にMicrosoft Edgeを利用します。スケジュールされた実行のたびに、Edgeがwebhook.siteのURLにアクセスし、ペイロードが配信される仕組みです。
このペイロードは1つまたは複数のファイルとしてダウンロードされ、Windowsのコマンドスクリプトに結合された上で、感染したマシン上で実行されます。
その後HOOKEDGEはコマンドの出力を取得し、HTMLファイル内に格納します。2つ目の非表示Edgeプロセスがそのファイルを開くことで自動的にHTTPPOSTリクエストがトリガーされ、収集されたデータが攻撃者の管理する別のwebhook.siteエンドポイントへと送信されます。
この手法により、悪意あるトラフィックを通常のブラウザ活動に見せかけることが可能になります。また、独自のマルウェア用ネットワーククライアントや、悪用が頻発するWindowsユーティリティへの依存も避けられます。
さらにBlueDeltaは、文書の開封およびメールの開封を追跡するために別々のwebhookエンドポイントを使用しており、これによりフィッシングメッセージや添付ファイルが開封されたかどうかを運用者側で監視できるようになっていました。
選定した価値の高い標的に対しては、同グループはより高頻度でビーコン通信を行う第2のHOOKEDGEペイロードを展開していました。第1段階のインプラントが30分以上の間隔でC2と通信していたのに対し、第2段階の亜種は最短で5分ごとに実行される場合もありました。
recordedfutureによれば、これにより無料版webhook.siteサービスの限られたリクエスト割り当てを維持しながら、運用者はより迅速に被害者システムへアクセスできるようになったとのことです。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記(例: [.])にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/apt28-hookedge-exploits-edge-webhooks/
