ロシア系脅威アクター「BlueDelta」、防衛・外交機関をマルウェア「HOOKEDGE」で標的に

ロシア国家と関連のある脅威アクター「BlueDelta」は、軽量なWindowsバックドア「HOOKEDGE」を用いて、ルーマニア、スペイン、トルコの防衛産業、政府機関、外交機関を狙う新たなスパイ活動を展開しています。

2025年9月下旬から2026年4月上旬にかけて追跡されたこの活動では、マクロを有効化したMicrosoft Wordの文書と正規のWebhookインフラを悪用し、アクセス確立、コマンド実行、データ窃取が行われていました。

BlueDelta は、一般にAPT28として知られる活動や、Fancy Bear、Microsoftが「Forest Blizzard」と呼ぶグループと重なりを持ち、ロシアの軍事情報機関GRUを支援する形で活動しているとみられています。

確認された最も古いおとりファイルは2025年9月26日に検出されたもので、スペイン大統領府・司法・国会関係省の議題文書になりすましていました。

研究者によると、このおとりファイルはスペインとモルドバの当局者が参加した2025年9月の会合の直後に出現しており、モルドバの議会選挙を前にした同国の政治情勢に関するロシア情報機関のニーズに沿った作戦だった可能性が指摘されています。

その後のサンプルでは外交をテーマにしたおとりは使われなくなり、代わりに受信者に「コンテンツの有効化」をクリックさせる一般的な文書と、疑念を抑えるための偽のMicrosoft Wordエラーが用いられるようになりました。

マクロが有効化されると、悪意ある文書はAutoOpen()ルーチンを起動し、バッチペイロード、VBSランチャー、インストーラー、HTMLフラグメントを被害者の%userprofile%ディレクトリに書き込みます。

インストーラーは永続化のためのスケジュールタスクを作成した後、自身とランチャー、タスク定義ファイルを削除して、フォレンジック調査で残る痕跡を減らします。

残りのファイルはBlueDeltaのWebhookエンドポイントに紐づくGUID形式の名前を使用しており、マルウェアのローカル上の痕跡とタスク割り当て・データ窃取用インフラとが直接結び付けられています。

Recorded FutureのInsikt Groupは、これらのキャンペーンをBlueDeltaによるものと中程度の確信度で断定しました。同グループが過去に使用していたバッチスクリプト型インプラント「HEADLACE」との間で、コード、インフラ、手口に大きな重複が見られることを根拠としています。

HOOKEDGEマルウェアキャンペーン

HOOKEDGEは従来型のコンパイル済みマルウェアファミリーではありません。代わりに、攻撃者が制御するwebhook[.]siteのエンドポイントに.cmdペイロードを求めてポーリングするよう構築されたWindowsバッチスクリプト型バックドアです。

コマンドの断片をダウンロードしてローカルで再構成し、生成されたコマンドファイルを実行、出力を取得した上で、ローカルで生成したHTMLページ内にそのデータを格納します。

その後、Microsoft Edgeを使ってこのHTMLファイルをレンダリングし、自動送信フォームによって取得済みの出力データを別のWebhookエンドポイントへ送信します。

この手法では、正規のブラウザがコマンド取得とデータ窃取の両方でHTTPクライアントとして使われるため、悪意あるトラフィックが明白なC2(コマンド&コントロール)インプラントによる通信ではなく、通常の暗号化されたWebブラウジングのように見えるようになっています。

同グループは、docopened[.]jpgやmailopened[.]jpgといった埋め込みリモート画像参照も追跡用のカナリアとして利用していました。

これらのリクエストにより、攻撃者はメールの配信、文書の開封、マクロ実行の成功を区別できるようになり、後続のツールを展開する前にキャンペーンのテレメトリを取得できていました。

Insikt Groupは、HOOKEDGEをHEADLACEの直接的な進化形と評価しています。HEADLACEは、BlueDeltaが2023年にヨーロッパ全域で展開した多段階のスパイ活動で使用していたマルウェアです。

両マルウェアファミリーはいずれも、バッチスクリプト、ブラウザを介した通信、正規のインターネットサービス、GUIDベースの痕跡、段階的なペイロード配信という手法を共有しています。

過去のHEADLACEを用いた作戦でもGitHubを含むサービスやMocky、InfinityFreeが悪用されており、専用の攻撃インフラを維持するよりも外部プラットフォームを好むBlueDeltaの傾向が浮き彫りになっています。

同アクターはキャンペーン全体を通じてHOOKEDGEに改良を重ねていました。Edgeの実行方式をヘッドレスモードから非表示または画面外のブラウザウィンドウへと切り替え、フィッシングメールの開封追跡を導入し、VBAの難読化を変更、さらに初段のビーコン間隔を61分に延長しています。

この間隔延長は、不審なプロセスを1時間程度しか監視しないサンドボックスの検知を回避しつつ、webhook[.]siteの無料プランで課されるリクエスト回数制限内に収めるのに役立っているとみられます。

より価値の高い標的に対しては、BlueDeltaは最短5分間隔でビーコンを送信する第2段階のHOOKEDGEを展開していました。

この階層型モデルにより、運用担当者は低頻度のマルウェアで広範なアクセスを確保しつつ、情報価値の高いと確認された被害者だけを、より即応性の高いタスク管理インフラへ選択的に移行させることができます。

このキャンペーンは、運用面で成熟したスパイ活動が必ずしも高度なバイナリを必要としないことを示しています。

BlueDeltaは、悪意あるOfficeマクロ、スケジュールタスク、VBScript、バッチファイル、Microsoft Edge、Webhookサービスを組み合わせることで、低コストかつ迅速に適応可能な回避型の攻撃チェーンを構築しています。

防御側は、インターネット経由で受信した文書内のマクロをブロックし、ユーザー書き込み可能なパスからスクリプトを起動するschtasksの動作を調査し、–headlessオプション、非表示ウィンドウ、ローカルHTMLファイル、データURLを伴う不審なEdgeの実行を精査する必要があります。

セキュリティチームはまた、正当な業務上の必要性がない場合はWebhookサービスへのアウトバウンドアクセスをベースライン化・制限し、ユーザープロファイルディレクトリ内にあるGUID形式で命名された.bat、.vbs、.cmd、.htm、.xhtmlファイルを探索する必要があります。

ComparingHome Security Systems

Lab52は、これと密接に関連する活動を「Operation MacroMaze」として個別に追跡しており、類似したスペイン政府をかたるおとりファイル、Webhookを用いた文書開封の追跡、スケジュールタスクによる永続化、ブラウザを介したデータ窃取を記録しています。これは、本キャンペーンの手口に一貫性があることをさらに裏付けるものです。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化(defang)して表記しています(例: [.])。再有効化(re-fang)は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤上でのみ行ってください。

★ どのセキュリティツールを削減すべきか? 1ページでスコアリング – 「継承されたセキュリティスタック」ガイドをダウンロード