ロシア政府に関連する脅威アクター「BlueDelta」(APT28、Fancy Bear、Forest Blizzardとしても知られる)が、欧州の外交・政府・防衛関連組織を狙ったサイバースパイ活動において、Windows向けの軽量バックドア「HOOKEDGE」を使用していたことが判明しました。
研究者らは、この攻撃活動をルーマニア、スペイン、トルコを標的にしたものと結び付けており、2025年9月下旬から2026年4月上旬にかけて確認されたほか、2026年6月から7月にかけては新しい亜種も出現しています。
Polyswarmによると、BlueDeltaはマクロ有効化されたMicrosoft Word文書を添付したスピアフィッシングメールを通じてHOOKEDGEを配布していました。
初期の攻撃では外交をテーマにした偽装文書が使われており、その中にはスペインの首相府・司法・国会関係省(Ministry of the Presidency, Justice and Relations with the Cortes)の資料になりすましたファイルも含まれていました。
その後の攻撃活動では、無意味な文字列や「コンテンツの有効化」を促す文言を含む汎用的な文書へと手口が変化しています。被害者がマクロを有効にすると、文書は偽のMicrosoft Wordエラーメッセージを表示する一方、裏側ではAutoOpen()ルーチンが多段階の感染プロセスを開始します。
このマクロは、バッチファイル、コマンドファイル、VBScript、HTML、XHTMLの各ファイルをユーザープロファイルディレクトリに書き込みます。これらのコンポーネントは、設定された間隔でHOOKEDGEのペイロードを起動するWindowsのタスクスケジューラを通じて永続化を確保します。
インストール用スクリプトはその後、自身と関連する痕跡を削除するため、インシデント対応者が入手できる証拠は限られたものになります。HOOKEDGEはポーリング型のバックドアとして動作し、専用のマルウェア通信コンポーネントではなくMicrosoft Edgeに依存しています。
実行サイクルのたびに、このバックドアはダウンロードの痕跡を消去し、msedge.exeを起動して、webhook[.]siteを通じて作成された攻撃者管理下のエンドポイントに接続します。
マルウェアはステージングされたコンテンツを取得し、それを.cmd形式のペイロードに結合してコマンドを実行、その出力結果を取得してHTMLファイルに埋め込みます。
その後、2つ目のEdgeインスタンスがHTTP POSTリクエストを通じてそのデータを別のwebhookエンドポイントに送信し、一時ファイルを削除します。
Microsoft Edgeと正規のwebhookプラットフォームを利用することで、この攻撃活動は通常のHTTPSブラウザ通信に紛れ込みやすくなっています。初期のバージョンではEdgeをヘッドレスモードで実行していましたが、後の亜種では非表示のブラウザウィンドウを使用するようになりました。
また、BlueDeltaは確認されたwebhookエンドポイントの管理にNordVPNのIPアドレスを利用していたとも報告されており、隠蔽工作にさらなる層を加えていました。
Polyswarmの調査によると、BlueDeltaはHOOKEDGEを使って、侵害した組織に対する監視を選択的に強化していました。第1段階のインプラントは30分ごとにビーコン通信を行う一方、より価値の高い被害者に展開された第2段階のHOOKEDGEインスタンスは、最短5分間隔という頻度で通信していました。
この段階的なアプローチにより、攻撃者は追加のインフラや作業を投入する前に、侵害の成否や戦略的な重要性を見極めることができるとみられます。また、リクエスト数の上限を100回に制限しているwebhook[.]siteの無料プランの制約を回避する効果もあります。
後に確認された第1段階の亜種では、ビーコン間隔が61分に設定されていました。このタイミング設定により、エンドポイントの消費を抑えつつ、疑わしいプログラムを通常約1時間監視する自動サンドボックスシステムを回避できる可能性があります。
HOOKEDGEは、BlueDeltaが過去に使用していたことが確認されているバックドア「HEADLACE」と、コードおよび運用面で大きく重なっています。両者とも、Windowsのバッチスクリプト、ブラウザを介したコマンド&コントロール(C2)通信、正規のインターネットサービス、隠密実行、軽量なペイロード配信の仕組みを使用しています。
Recorded Futureは中程度の確度で、HOOKEDGEはHEADLACEを直接発展させたものであり、この攻撃活動はBlueDeltaによるものだと評価しています。
欧州の政府、外交、防衛関連の組織を中心とした標的の傾向は、ロシアの情報機関が長年掲げてきた情報収集の優先事項と一致しています。
今回の攻撃活動は、国家の支援を受けた攻撃者が技術的に複雑なマルウェアを展開しなくても、持続的なスパイアクセスを達成できることを示しています。
防御側は、マクロが有効化された添付ファイル、不審なスケジュールタスク、通常とは異なるEdgeの子プロセス、ブラウザから起動されるコマンドスクリプト、そして新規に作成されたwebhookサービスへの接続を監視する必要があります。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査力を強化する
