O agente patrocinado pelo Estado e ligado à Rússia, identificado como APT28 e também conhecido como BlueDelta, Fancy Bear e Forest Blizzard, foi associado a ataques contra dois países membros da Organização do Tratado do Atlântico Norte (OTAN).
A equipe de caça a ameaças da Symantec, que acompanha esse conjunto de atividades sob o nome Swallowtail, identificou o uso de uma backdoor chamada HOOKEDGE e de um loader até então não documentado. A ferramenta foi projetada para descriptografar e executar um payload criptografado na memória usando uma chave criptográfica fornecida durante a execução.
Entre os alvos estavam um órgão policial, um estaleiro naval e um fabricante de motores para aeronaves militares. Essas organizações armazenam informações que poderiam ser úteis a um serviço de inteligência estrangeiro, segundo a unidade de inteligência de ameaças da Broadcom.
“Durante um ataque contra o estaleiro naval, os operadores voltaram repetidamente a um equipamento comprometido ao longo de uma semana, em uma atividade que parecia envolver controle direto pelo teclado. Eles roubaram credenciais usando duas técnicas distintas, abriram um túnel SSH persistente para a rede interna da organização e instalaram um reflective loader até então não documentado”, afirmou a Symantec em relatório divulgado pelo The Hacker News.
O uso de HOOKEDGE pelo APT28 foi documentado publicamente pela primeira vez pelo grupo Insikt, da Recorded Future, no fim de agosto de 2026. A descoberta ocorreu durante a investigação de uma campanha de espionagem cibernética contra organizações governamentais e diplomáticas da Romênia, da Espanha e da Turquia, entre setembro de 2025 e o início de abril de 2026.
HOOKEDGE compartilha semelhanças importantes de código e de técnicas operacionais com HEADLACE, um implante modular para Windows que o APT28 usa em ataques contra diplomatas desde abril de 2023. Distribuído por meio de iscas de spear phishing, HOOKEDGE é um script básico do Windows que aceita comandos dos atacantes e envia os resultados de volta.
A backdoor é distribuída por documentos do Microsoft Word com macros e se comunica exclusivamente por meio de um endereço do serviço webhook[.]site, usado para enviar tarefas e receber os resultados da execução. Em seguida, os dispositivos infectados buscam essas tarefas usando uma instância oculta do navegador Microsoft Edge, aberta fora da tela, em vez de recorrer a um programa tradicional de download.
No ataque contra o estaleiro naval, ocorrido no fim de julho de 2026, os agentes de ameaça teriam distribuído novas variantes do HOOKEDGE. Elas deixaram de usar o webhook[.]site e passaram a se conectar ao endereço IP dedicado “185.82.218[.]119:443” tanto para receber instruções quanto para exfiltrar dados.
“Os atacantes usaram duas técnicas distintas para roubar credenciais. Em uma delas, instalaram uma chave privada SSH no equipamento comprometido e a usaram imediatamente para abrir uma conexão SSH com o próprio servidor, solicitando um túnel persistente em segundo plano que lhes desse acesso, a partir de sua infraestrutura, à rede interna do alvo”, afirmou a Symantec.
“Na outra, executaram um breve script independente em PowerShell, que cria um serviço de escuta no endereço de loopback do próprio equipamento e força a máquina a se autenticar nele, capturando a troca de dados NTLM resultante.”
Também foram observados atacantes instalando um novo reflective loader, chamado “ld.exe”, por meio de um comando curl enviado via SSH. A ferramenta foi projetada para decodificar e executar um componente da etapa seguinte. A natureza exata do payload ainda é desconhecida.
“As técnicas observadas após o acesso inicial, incluindo o roubo de credenciais por dois métodos independentes, um túnel de rede persistente e um loader até então não documentado, vão além do mecanismo de distribuição que havia sido divulgado publicamente para essa campanha”, afirmou a Symantec.
A descoberta foi divulgada após a Team Cymru informar que identificou cinco servidores adicionais de comando e controle (C2) do LegionRelay, usados em ataques contra entidades ucranianas. Os endereços IP são:
- 91.149.221[.]118:8000
- 91.149.221[.]123:8000
- 166.88.239[.]54:8000
- 194.87.108[.]12:8000
- 194.87.108[.]217:8000
LegionRelay é o nome dado a um trojan de acesso remoto baseado em PowerShell. Ele permite listar arquivos, exfiltrar dados, capturar imagens da tela, roubar dados de navegadores, extrair informações do Telegram e do WhatsApp e configurar o acesso pelo protocolo de área de trabalho remota (RDP). A ferramenta é atribuída a um agente de ameaça chamado GREYVIBE, que, segundo avaliações, realiza ataques persistentes contra a Ucrânia e entidades ligadas ao país desde pelo menos agosto de 2025.
Ataques contra a Ucrânia no primeiro semestre de 2026
Em um relatório publicado no fim do mês passado, a Equipe de Resposta a Emergências de Computadores da Ucrânia (CERT-UA) revelou que hackers russos têm atacado cada vez mais os celulares de militares e funcionários do governo ucraniano, tanto para espionagem quanto para obter ganhos financeiros.
“O papel crescente dos celulares na comunicação entre militares, funcionários públicos e civis os torna alvos mais atraentes para a coleta de inteligência, a realização de novos ataques e ações motivadas por ganhos financeiros”, afirmou a agência.
Entre as ferramentas usadas está o conjunto de exploits para iOS DarkSword, distribuído em ataques watering hole por meio de sites legítimos de notícias e páginas governamentais ucranianas comprometidas. O objetivo é extrair dados sensíveis dos dispositivos infectados.
“A ferramenta está associada a agentes de ameaça russos, e seu uso contra alvos ucranianos aponta para o crescente interesse do adversário pela plataforma iOS, que antes era considerada relativamente segura”, observou a agência.
As conclusões são compatíveis com um relatório divulgado em março de 2026 pelo Grupo de Inteligência sobre Ameaças do Google (GTIG). O documento associou o agente de espionagem russo UNC6353 ao uso dos conjuntos Coruna e DarkSword em campanhas watering hole contra usuários ucranianos desde o verão de 2025.
As ameaças também afetam o ecossistema Android. Os conjuntos de atividades UAC-0244 e UAC-0263 usam aplicativos falsos para distribuir duas famílias diferentes de malware:
- O UAC-0244 distribui CAMELSPY, que coleta informações do sistema, geolocalização, dados do cartão SIM, contatos, registros de chamadas e imagens da galeria.
- O UAC-0263 distribui o trojan de acesso remoto BTMOB, que permite ao agente de ameaça controlar o dispositivo infectado e exfiltrar dados.
A CERT-UA também informou ter observado o APT28 explorando vulnerabilidades como a
CVE-2026-21509
, que permite contornar um recurso de segurança do Microsoft Office, e a
CVE-2026-8496
, uma vulnerabilidade que não exige interação do usuário no cliente de webmail SOGo. Os ataques foram usados, respectivamente, para distribuir o malware COVENANT e extrair credenciais e dados das caixas de correio das vítimas.
“Ao mesmo tempo, o agente não abandonou métodos mais antigos e testados, mas que, infelizmente, continuam eficazes. Foram observados, em particular, ataques que exploram vulnerabilidades XSS no cliente de webmail Roundcube. Documentos do Excel com macros também foram usados para distribuir o COVENANT”, afirmou a CERT-UA.
Esses ataques fazem parte dos 3.137 incidentes cibernéticos registrados pela CERT-UA no primeiro semestre de 2026, um volume estimado em 8% acima do registrado no segundo semestre de 2025.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...