Grupo APT28 amplia espionagem com novo backdoor para Windows
O grupo BlueDelta, associado à inteligência militar russa e conhecido no cenário de cibersegurança como APT28, conduziu uma nova campanha de espionagem digital contra organizações estratégicas da Europa. A atribuição é considerada de confiança moderada, mas as técnicas empregadas, os alvos escolhidos e as semelhanças com ferramentas anteriores reforçam a ligação com o conhecido grupo de ameaças.
A operação teria ocorrido entre setembro de 2025 e abril de 2026, atingindo instituições governamentais, representações diplomáticas e empresas ligadas à indústria de defesa. Os alvos identificados estavam na Romênia, na Espanha e na Turquia, países que ocupam posições relevantes no contexto político e militar europeu.
Campanha começa com documentos falsos do Word
O acesso inicial foi obtido principalmente por meio de campanhas de spearphishing. Os operadores enviavam documentos do Microsoft Word com macros habilitadas, usando nomes, conteúdos e elementos visuais capazes de simular materiais oficiais.
Alguns arquivos imitavam documentos associados ao governo espanhol. Para concluir a abertura do conteúdo, a vítima era orientada a clicar no botão “Enable Content”, geralmente apresentado como necessário para visualizar corretamente o arquivo ou liberar recursos do documento.
Ao permitir a execução das macros, o usuário acionava uma sequência automatizada de comprometimento. O código gravava arquivos em diretórios pertencentes ao perfil da vítima, iniciava os componentes maliciosos e configurava mecanismos para garantir a permanência do invasor no computador.
Persistência por tarefa agendada
Uma das técnicas utilizadas foi a criação de uma tarefa agendada no Windows. Esse recurso permite que o malware seja executado automaticamente em horários determinados ou durante eventos específicos do sistema, como o logon do usuário.
A estratégia é comum em operações de espionagem porque não depende necessariamente da execução manual do arquivo original. Mesmo que o documento usado no phishing seja fechado ou removido, a tarefa criada pode continuar iniciando o código instalado.
Durante o processo, parte dos arquivos empregados na instalação era apagada. A remoção de componentes intermediários reduz a quantidade de evidências deixadas no disco e pode dificultar a reconstrução da cadeia de ataque durante uma investigação forense.
HOOKEDGE oferece controle remoto por comandos
O principal malware identificado na campanha recebeu o nome de HOOKEDGE. Trata-se de um backdoor relativamente simples e leve, desenvolvido com scripts batch do Windows.
Após a instalação, o programa consulta servidores externos para verificar se existem novas instruções. Quando recebe um comando, pode executar arquivos com extensão `.cmd` na máquina comprometida e encaminhar os resultados aos operadores.
Esse modelo dá aos invasores capacidade de realizar ações sob demanda, coletar informações, executar comandos administrativos e adaptar o comportamento da operação de acordo com o ambiente encontrado. Embora não seja uma ferramenta tecnicamente sofisticada, sua simplicidade pode facilitar alterações rápidas e reduzir a quantidade de código necessário para manter o acesso.
Uso de navegador legítimo para ocultar comunicação
Para dificultar a identificação do tráfego, o HOOKEDGE utiliza instâncias ocultas ou executadas em modo headless do Microsoft Edge. Dessa forma, a comunicação com a infraestrutura controlada pelos criminosos pode se misturar ao tráfego produzido por um navegador legítimo.
O malware também recorre ao serviço webhook.site para receber ou transmitir dados. Como esse domínio é uma plataforma legítima e pode aparecer em atividades de desenvolvimento e testes, bloqueios baseados apenas na reputação do domínio tendem a ser menos eficazes.
A tática explora uma dificuldade comum das equipes de defesa: distinguir uma conexão maliciosa de uma atividade aparentemente normal realizada por aplicativos confiáveis. Em vez de depender de servidores evidentemente suspeitos, os atacantes utilizam serviços públicos e processos presentes no sistema operacional.
Alvos prioritários receberam uma segunda implantação
Em organizações consideradas mais relevantes, os operadores instalaram uma segunda instância do HOOKEDGE. Essa cópia realizava comunicação com os servidores a cada cinco minutos, intervalo curto o suficiente para permitir respostas mais rápidas e coleta contínua de dados.
A presença de múltiplas instâncias também pode oferecer redundância à operação. Caso uma delas seja interrompida, outra pode permanecer ativa ou ser usada para restabelecer o controle sobre o equipamento.
O comportamento observado apresenta forte semelhança com o antigo backdoor HEADLACE. A relação não significa necessariamente que o código seja idêntico, mas indica possível continuidade operacional, reaproveitamento de conceitos ou evolução de ferramentas empregadas anteriormente pelo mesmo ecossistema de ameaça.
Por que a campanha é relevante
O caso mostra como ataques direcionados continuam combinando métodos conhecidos com recursos simples, porém eficientes. A macro maliciosa, a tarefa agendada e os scripts batch não são novidades isoladas, mas podem produzir resultados expressivos quando usados contra setores estratégicos e acompanhados de engenharia social convincente.
A escolha de instituições governamentais, diplomáticas e empresas de defesa sugere uma prioridade clara na obtenção de informações políticas, militares e industriais. Documentos internos, comunicações, projetos técnicos e dados sobre contratos podem ter alto valor para operações de inteligência.
Outro aspecto importante é a tentativa de mascarar o tráfego usando ferramentas legítimas. Esse tipo de abordagem reforça a necessidade de monitorar não apenas endereços suspeitos, mas também comportamentos incomuns de aplicações confiáveis, como navegadores iniciados sem interface, conexões frequentes a serviços de recebimento de dados e execução inesperada de scripts.
Como reduzir o risco de infecção
Organizações podem diminuir a exposição adotando políticas que bloqueiem ou limitem macros vindas da internet. Arquivos recebidos por e-mail devem ser analisados antes da abertura, especialmente quando solicitam a ativação de conteúdo para exibir informações aparentemente básicas.
Também é recomendável acompanhar a criação de tarefas agendadas, sobretudo quando elas são configuradas em perfis de usuários comuns ou apontam para diretórios temporários e pastas de dados do usuário. Alterações desse tipo podem indicar persistência maliciosa.
A execução de arquivos `.cmd`, `.bat` e outros scripts deve ser registrada e, quando possível, restringida por políticas de controle de aplicações. O monitoramento precisa incluir processos de navegador executados com parâmetros incomuns, em modo oculto ou sem interface gráfica.
Por fim, equipes de segurança devem combinar soluções de proteção de endpoint, análise de comportamento, registros de rede e autenticação multifator. Nenhuma dessas medidas elimina sozinha o risco, mas a combinação aumenta a chance de identificar a invasão antes que os operadores consigam ampliar o acesso e extrair informações sensíveis.