Een Russische, door de staat gesteunde dreigingsactor die vaak wordt aangeduid als APT28 is gelinkt aan inbraken bij NAVO-gerelateerde organisaties in een NAVO-land. In de gemelde aanvalscyclus vallen vooral twee dingen op: de inzet van een APT28 nieuwe loader en een reeks technieken om toegang veilig te stellen, credentials te stelen en communicatie met het netwerk langdurig vol te houden.
Volgens Symantec Threat Hunter Team (gevolgd onder de activiteitcluster Swallowtail) werden backdoor HOOKEDGE en een eerder onbekende loader gebruikt om in het geheugen een versleutelde payload te ontgrendelen en uit te voeren. Daarnaast beschrijven de rapporten hoe aanvallers herhaald terugkeerden naar gecompromitteerde systemen—duidend op gerichte, “hands-on” activiteit.
Wie is APT28 en wat is er nieuw in deze campagne?
APT28—ook bekend als BlueDelta, Fancy Bear en Forest Blizzard—staat al langer op de radar vanwege spionagecampagnes. In deze nieuwe toeschrijving wordt de focus gelegd op aanvallen tegen meerdere doeltypen, waaronder een wetshandhavingsinstantie, een defensie- en maritieme ketenpartij (naval shipbuilder) en een fabrikant van militaire vliegtuigmotoren. Zulke organisaties beheren informatie die voor inlichtingenwaardes direct interessant kan zijn.
Het meest opvallende onderdeel is de combinatie van:
- HOOKEDGE, een backdoor met een relatief lichte implementatie;
- een voorheen niet gedocumenteerde reflectieve loader die payloads in het geheugen ontsleutelt en draait;
- een aanpak waarbij aanvallers toegang en uitwisseling organiseren via tunnels of endpoint-specifieke netwerkroutes.
Die samenhang maakt de campagne minder “éénmalig” en meer een platformachtige operatie: initiële toegang wordt gevolgd door uitbouw, herhaald gebruik van dezelfde host en extra tooling.
HOOKEDGE: van macro-document tot taakuitwisseling
In de beschreven aanval wordt HOOKEDGE geleverd via macro-enabled Microsoft Word-documenten. Voor taakuitwisseling en terugkoppeling wordt gebruikgemaakt van een kanaal op basis van een webhook[.]site URL.
Na infectie haalt de malware taken op via een verborgen, off-screen instantie van Microsoft Edge. Dat wijkt af van traditionele downloader-architecturen en kan detectie lastiger maken, omdat de communicatie schijnbaar “browser-achtig” verloopt in plaats van via één duidelijk downloadproces.
Een extra detail: latere varianten lijken webhook[.]site te verlaten. Bij de aanval op de naval shipbuilder werd de taak- én exfiltratielogica vervangen door communicatie met een dedicated IP-adres (185.82.218[.]119:443). Dat wijst op actieve aanpassingen op basis van operationele behoeften.
Nieuw gedrag richting eind september 2026
De nieuwste waarneming in het rapport dateert van 24 september 2026, toen binnen het netwerk van de shipbuilder een Visual Basic Script launcher werd gezien die is gekoppeld aan HOOKEDGE. Het rapport vermeldt niet met zekerheid of er daadwerkelijk data is buitgemaakt door die specifieke fase.
Credentiediefstal: twee routes, één doel
Symantec beschrijft bij de naval shipbuilder-aanval twee zelfstandige technieken om inloggegevens te bemachtigen en vervolgens direct bruikbaar te maken.
1) SSH private key pushen en meteen terugkoppelen
In één scenario zetten aanvallers een SSH private key op het gecompromitteerde systeem en gebruikten die daarna meteen om een SSH-verbinding op te zetten richting hun eigen infrastructuur.
Cruciaal is dat ze daarbij een persistent, “backgrounded” tunnel lijken te hebben gecreëerd: een route van hun kant naar het interne netwerk van het slachtoffer, zodat vervolgstappen later eenvoudiger kunnen plaatsvinden.
2) NTLM-handshake oogsten via een lokale listener
In een tweede scenario werd een korte, self-contained PowerShell script uitgevoerd. Dat script activeert een listener op een loopback-adres en dwingt het systeem om zichzelf te authenticeren richting die listener. Het resultaat is dat de aanvallers de NTLM-handshake kunnen vastleggen.
Voor verdedigers is dit patroon relevant omdat het aantoont dat de aanval niet alleen draait om “eenmalige” toegang, maar ook om het verkrijgen van materiaal om later verder te bewegen of om langduriger toegang te faciliteren.
De APT28 nieuwe loader: runtime decryptie in memory
Naast HOOKEDGE wordt in de campagne ook een reflectieve loader genoemd die nog niet eerder was gedocumenteerd. Die loader is ontworpen om:
- een versleutelde payload te downloaden of te verkrijgen;
- te ontsleutelen met een cryptografische sleutel die op runtime wordt aangeleverd;
- de payload in het geheugen te laten draaien, zonder de traditionele “run via een klassiek bestandspad”-route.
Daarbovenop wordt melding gemaakt van een nieuwe reflectieve component die wordt neergezet als ld.exe. Die zou via een curl-opdracht via SSH worden geleverd, waarna de volgende fase wordt gedecodeerd en uitgevoerd. Wat die volgende payload precies doet, blijft in de publicatie onbekend.
Dit soort memory-first uitvoering maakt detectie complexer, omdat indicatoren eerder “in gedrag” en “in runtime” te vinden zijn dan in een eenvoudig analyseerbaar dropperbestand.
Meer context: aanvallen op Oekraïne via mobiele exploits en webmail
De bronpublicatie bevat ook breder achtergrondnieuws over Russische activiteit richting Oekraïne. CERT-UA meldt dat er in H1 2026 toenemende interesse is in smartphones van militair personeel en overheidsmedewerkers, zowel voor spionage als financieel gemotiveerde aanvallen.
Ook worden mobile exploit kits genoemd zoals DarkSword (iOS), geleverd via watering-hole technieken op gecompromitteerde Oekraïense nieuws- en overheidswebsites. Daarnaast wordt verwezen naar Android-malwarefamilies die via decoy apps slachtoffers kunnen infecteren.
Verder beschrijft CERT-UA dat APT-gerelateerde aanvallen kwetsbaarheden in Microsoft Office en een zero-click issue in SOGo kunnen misbruiken om respectievelijk COVENANT te leveren en mailbox-gegevens te bemachtigen. Ook oudere maar effectieve methodes zoals XSS in Roundcube en macro-gebaseerde Excel-documenten blijven onderdeel van de toolkit.
Tot slot worden door Team Cymru aanvullende LegionRelay C2-servers genoemd: PowerShell-gebaseerde RAT-capaciteiten omvatten onder meer enumeratie, exfiltratie, screenshotting, browser data theft en RDP-opzet.
Wat kunt u nu doen? Praktische defensiestappen
Los van details per campagne zijn er een paar concrete verdedigingsprincipes die goed aansluiten op de beschreven tradecraft: focus op detectie van credential theft, beperk laterale beweging en maak netwerktoegang herleidbaar.
- Monitor op ongebruikelijke SSH-activiteiten: let op persistente tunnels, terugkerende verbindingen en het plaatsen/gebruik van SSH-sleutels op endpoints.
- Herken PowerShell gedrag dat authenticatie triggert: met name scripts die listeners op loopback aanspreken of NTLM-handshakes faciliteren.
- Controleer macro-documenten en vervolgprocessen: macro-enabled Word is een klassiek startpunt; combineer dit met logging op “spawn” van browserprocessen (Edge) en communicatiepatronen.
- Zoek naar memory-first uitvoering: al is een loader niet altijd zichtbaar als bestand, kunnen EDR-signalen, procesketens en netwerkverkeer wel aanwijzingen geven.
- Voorkom dat externe toegang interne netwerken “routeert”: segmentatie en restricties op uitgaande verbindingen verkleinen de impact van tunnels.
Wilt u dit vertalen naar governance en proces—zeker als u met AI-workflows of geautomatiseerde security-activiteiten werkt—dan kan het relevant zijn om ook te kijken naar eerder gepubliceerde inzichten over “rogue” gedrag en dreigingsscoring. Bijvoorbeeld: Bron: https://thehackernews.com/2026/10/russian-apt28-breaches-nato-naval.html
