ロシア系ハッカー集団、HOOKEDGE新型バックドアを展開しヨーロッパ各地でスパイ活動

APT28、Fancy Bear、Forest Blizzardとしても知られるロシア国家主導の脅威アクターBlueDeltaが、ヨーロッパ各地の政府機関、外交機関、防衛製造企業を標的としたスパイ活動において、HOOKEDGEと名付けられた軽量なWindows向けバックドアを展開していることが分かりました。

PolySwarmが記録したこの活動は、2025年9月下旬から2026年4月上旬にかけて、ルーマニア、スペイン、トルコの組織を標的にしていました。

2026年6月と7月に確認された新しい亜種からは、同グループがフィッシングの誘導文言、マルウェアの実行チェーン、コマンド&コントロール（C2)手法を継続的に改良していることがうかがえます。

ロシア系ハッカー、新型HOOKEDGEバックドアを展開

BlueDeltaは、スピアフィッシングキャンペーンを通じてマクロ付きのMicrosoft Wordファイルを配布していたと報告されています。初期の誘導文書は外交関連の資料を装っており、スペインの大統領府・司法・議会関係省からの通信文書に似せたものも含まれていました。

その後に確認されたサンプルでは、無意味なテキストと「コンテンツの有効化」をクリックするよう促す文言を含む、より汎用的な文書が使われていました。標的がマクロを有効にすると、文書のAutoOpen()ルーチンが起動し、複数のバッチファイル、コマンドファイル、VBScriptファイル、HTMLファイル、XHTMLファイルが%userprofile%ディレクトリに投下される仕組みです。

この悪意ある文書は偽のMicrosoft Wordエラーメッセージも表示しており、被害者にファイルが開けなかったと思い込ませ、裏で実行されている処理への注意をそらす狙いがあったとみられます。

HOOKEDGEは、主にWindowsのバッチスクリプトと正規のソフトウェアを組み合わせて構築されたポーリング型バックドアです。永続化のためにスケジュールタスクを作成した後、定期的にMicrosoft Edgeを使って攻撃者が管理するエンドポイント（webhook[.]site上でホストされている）と通信します。

各ビーコン送信サイクルにおいて、このマルウェアは選択したダウンロード済みの痕跡ファイルを削除し、ステージング用のwebhookから攻撃者のコマンドを取得して.cmd形式のペイロードにまとめ、生成されたスクリプトを実行します。

その後、コマンドの出力結果を取得してHTMLファイルにパッケージ化し、生成されたファイルをHTTP POSTリクエストで別のwebhookエンドポイントに送信します。

msedge.exeをHTTPクライアントとして利用することで、悪意ある通信を通常のHTTPSブラウザ通信に紛れ込ませることができます。BlueDeltaは専用のC2サーバーを運用する代わりに、正規のサードパーティサービスを利用しており、最小限のインフラ投資で使い捨てのエンドポイントを作成できるようにしています。

同グループは、確認されたwebhookエンドポイントの管理にNordVPNのIPアドレスも使用しており、これによって運用者の帰属特定やインフラのブロックがさらに困難になっています。

Recorded Futureの評価によると、BlueDeltaはHOOKEDGEを使用して、初期侵害後に被害者のトリアージ（選別）を行っているとみられます。第一段階のペイロードは比較的低い頻度で通信するよう設定されており、30分間隔のものや、後の設定では61分間隔のものも確認されています。

選別された一部の被害者には、5分ごとにビーコンを送信するよう設定された2つ目のHOOKEDGEインスタンスが送り込まれていました。この手法により、運用者は情報価値が高いと判断したシステムに対してより迅速な指示出しと対応が可能になる一方、優先度の低い侵害先については目立たない足跡を維持することができます。

Polyswarmの発表によると、61分間隔の設定は、約1時間にわたって不審なプログラムを監視する自動サンドボックスを回避する狙いもある可能性があります。また、エンドポイントごとのリクエスト数に制限があるwebhook[.]siteの無料プランにおいて、APIリクエストの消費を抑える効果もあります。

研究者らは、以前BlueDeltaが使用していたHEADLACEバックドアとの技術面・運用面での大きな重複を根拠に、中程度の確信度でHOOKEDGEをBlueDeltaに関連付けています。

両方のマルウェアファミリーは、バッチベースの実行、ブラウザを介した通信、正規のインターネットサービスの利用、隠蔽実行技術、そして構造が類似したJavaScriptペイロードを使用しています。今回のキャンペーンは、国家の支援を受けるスパイ活動アクターが、複雑なマルウェアを使わずとも効果的なアクセスと情報収集を達成できることを浮き彫りにしています。

防御担当者は、マクロ付き添付ファイル、不審なスケジュールタスク、隠蔽されたEdgeの実行、webhookサービスへの異常なブラウザリクエスト、ユーザープロファイルディレクトリ内での一時的なバッチファイルやHTMLファイルの繰り返し作成を監視すべきです。

IOC（侵害指標）

マルウェアやフィッシングの発生から24時間以内にSOCを最新の状態に保ちましょう。 ANYRUNを試して、早期検知でインシデントを未然に防ぎましょう。