O grupo de ameaças patrocinado por Estado russo BlueDelta, também rastreado como APT28, Fancy Bear e Forest Blizzard, implantou um backdoor leve para Windows chamado HOOKEDGE em operações de espionagem que miram organizações governamentais, diplomáticas e da indústria de defesa na Europa.
A atividade, documentada pela PolySwarm, teve como alvo entidades na Romênia, Espanha e Turquia entre o final de setembro de 2025 e o início de abril de 2026.
Novas variantes identificadas durante junho e julho de 2026 mostram que o grupo continua refinando seus mecanismos de phishing, cadeia de execução de malware e métodos de comando e controle (C2).
Hackers russos implantam novo backdoor HOOKEDGE
Reportes indicam que a BlueDelta distribuiu arquivos do Microsoft Word com macros habilitadas por meio de campanhas de phishing direcionado. As iscas iniciais se passavam por material diplomático, incluindo documentos que se assemelhavam a comunicações do Ministério da Presidência, Justiça e Relações com as Cortes da Espanha.
Amostras posteriores usaram documentos mais genéricos, contendo texto de preenchimento e instruções para que os destinatários clicassem em "Habilitar Conteúdo". Se uma vítima habilitasse as macros, a rotina AutoOpen() do documento soltava diversos arquivos batch, command, VBScript, HTML e XHTML no diretório %userprofile%.
O documento malicioso também exibia uma mensagem de erro falsa do Microsoft Word, provavelmente com o objetivo de fazer as vítimas acreditarem que o arquivo falhou ao abrir e reduzir a atenção sobre a execução em segundo plano.
O HOOKEDGE é um backdoor de sondagem construído principalmente em torno de scripts batch do Windows e de softwares legítimos. Ele cria uma tarefa agendada para persistência e, em seguida, usa periodicamente o Microsoft Edge para se comunicar com endpoints controlados pelos atacantes, hospedados no webhook[.]site.
Durante cada ciclo de sinalização, o malware remove artefatos de download selecionados, recupera comandos do atacante a partir de um webhook de preparação, combina-os em um payload .cmd e executa o script resultante.
Em seguida, ele captura a saída do comando, empacota-a em um arquivo HTML e envia o arquivo resultante para um endpoint de webhook separado por meio de uma requisição HTTP POST.
O uso do msedge.exe como cliente HTTP permite que o tráfego malicioso se misture à atividade HTTPS comum do navegador. Em vez de operar servidores C2 dedicados, a BlueDelta se apoia em um serviço legítimo de terceiros que permite criar endpoints descartáveis com investimento mínimo em infraestrutura.
O grupo também utilizou endereços IP da NordVPN para administrar os endpoints de webhook observados, dificultando ainda mais os esforços de atribuição ou bloqueio da infraestrutura do operador.
A Recorded Future avaliou que a BlueDelta usa o HOOKEDGE para fazer a triagem das vítimas após o comprometimento inicial. Os payloads de primeiro estágio foram configurados para se comunicar com frequência relativamente baixa, incluindo intervalos de 30 minutos e, em uma configuração posterior, de 61 minutos.
Vítimas selecionadas receberam uma segunda instância do HOOKEDGE configurada para emitir sinalização a cada 5 minutos. Essa abordagem proporciona aos operadores capacidade mais rápida de tarefas e resposta contra sistemas considerados de maior valor de inteligência, mantendo uma atuação mais discreta nos comprometimentos de menor prioridade.
A PolySwarm afirmou que o intervalo de 61 minutos também pode ajudar o malware a escapar de sandboxes automatizadas que monitoram programas suspeitos por cerca de uma hora. A tática também reduz o consumo de requisições de API (Interface de Programação de Aplicações) no webhook[.]site, cujo plano gratuito limita o número de requisições por endpoint.
Os pesquisadores associaram o HOOKEDGE à BlueDelta com confiança moderada devido à grande sobreposição técnica e operacional com o backdoor HEADLACE, usado anteriormente pelo grupo.
Ambas as famílias de malware usam execução baseada em batch, comunicações mediadas pelo navegador, serviços legítimos da internet, técnicas de execução oculta e payloads JavaScript com estrutura semelhante. A campanha reforça como atores de espionagem apoiados por Estados conseguem obter acesso e coleta eficazes sem recorrer a malware complexo.
Os defensores devem monitorar anexos com macros habilitadas, tarefas agendadas suspeitas, execuções ocultas do Edge, requisições incomuns do navegador para serviços de webhook e a criação repetida de arquivos temporários batch ou HTML em diretórios de perfil de usuário.
IOCs (Indicadores de Compromisso)
Mantenha seu SOC (Centro de Operações de Segurança) atualizado sobre malwares e phishing ativos em até 24 horas após surgirem. Experimente a ANYRUN para prevenir incidentes com detecção precoce.
