Pesquisadores de cibersegurança identificaram uma nova série de campanhas voltadas a organizações governamentais e diplomáticas na Romênia, Espanha e Türkiye entre o fim de setembro de 2025 e o início de abril de 2026.
Segundo o Recorded Future Insikt Group, essas campanhas levaram à instalação de um backdoor até então não documentado, batizado de HOOKEDGE. Trata-se de um script leve em lote do Windows distribuído por meio de documentos do Microsoft Word com macros habilitadas e iscas com temas diplomáticos. As primeiras versões teriam se passado por material do governo espanhol, antes de adotar, um mês depois, uma abordagem baseada em engenharia social.
A atividade foi atribuída com confiança moderada a um grupo de hackers patrocinado pelo Estado russo, conhecido como APT28, também chamado Fancy Bear e Forest Blizzard. A empresa de inteligência de ameaças e cibersegurança, controlada pela Mastercard, acompanha o grupo sob o nome BlueDelta.
A conclusão se apoia, segundo o Recorded Future, em uma sobreposição significativa de código e táticas entre o HOOKEDGE e o HEADLACE, um backdoor modular para Windows já usado pelo APT28 em ataques contra diplomatas desde abril de 2023.
Entre os pontos em comum estão a arquitetura central e o uso de serviços do webhook[.]site para comando e controle (C2), preparação do payload e exfiltração de dados. Isso permite que a atividade maliciosa se misture ao tráfego normal da rede e dispensa a criação de uma infraestrutura dedicada.
“O implante passou por refinamento contínuo entre setembro de 2025 e abril de 2026, provavelmente para escapar de ambientes sandbox automatizados e se adaptar à redução dos limites gratuitos de API no webhook[.]site”, afirmou o Recorded Future em uma análise divulgada na quinta-feira, descrevendo-o como um “sucessor evolutivo direto do HEADLACE”.
O principal meio de entrega do HOOKEDGE é um documento do Microsoft Word com macros habilitadas que, ao ser aberto, induz a vítima a clicar em “Enable Content” para exibir o conteúdo. Isso faz com que a macro escreva seis arquivos no diretório “%userprofile%” e inicie a cadeia de instalação do HOOKEDGE.
O processo começa com um lançador de instalação que cria uma tarefa agendada para ser executada a cada 30 minutos e acionar o lançador do HOOKEDGE com o backdoor como argumento. Em seguida, o instalador principal se apaga, junto com o próprio lançador e o arquivo de definição da tarefa, numa tentativa de esconder rastros da atividade maliciosa, reduzir a superfície forense e dificultar a resposta a incidentes.
O documento isca também incorpora uma imagem oculta que referencia uma URL do webhook[.]site para alertar os operadores assim que for aberto pela vítima. Já o HOOKEDGE em si é um backdoor básico em lote do Windows que entra em um ciclo de consulta para viabilizar a execução remota de comandos. Ele busca payloads arbitrários em formato .cmd de um webhook de preparação, os executa e envia a saída resultante de volta à URL do webhook usando um arquivo HTML.
A obtenção de comandos e a exfiltração de dados ocorrem com a abertura de uma instância do Microsoft Edge em modo sem interface gráfica ou em uma janela oculta, seguida de uma solicitação HTTP ao webhook. Depois que os dados são transmitidos, todos os arquivos temporários são excluídos e qualquer processo cujo título de janela corresponda ao identificador da tarefa do HOOKEDGE é encerrado.
O BlueDelta também foi observado implantando um payload do HOOKEDGE em segunda etapa contra alvos de alto valor, com intervalo de comunicação de apenas cinco minutos, o que dá aos threat actors mais controle operacional sobre as tarefas e sobre a atividade interativa após a invasão.
“A arquitetura em duas etapas também ajuda a mitigar uma das restrições de infraestrutura do BlueDelta”, explicou o Recorded Future. “O plano gratuito do webhook[.]site impõe um máximo de 100 solicitações por endpoint exclusivo, o que significa que um intervalo de comunicação de 30 minutos esgotaria a cota de um endpoint em aproximadamente dois a três dias.”
“Ao mover vítimas prioritárias para endpoints dedicados de segunda etapa no webhook, o BlueDelta separa de forma eficaz a infraestrutura de acesso inicial da infraestrutura de coleta ativa, garantindo que o controle contínuo do operador e a coleta de dados não esgotem antes do tempo as cotas limitadas de solicitações dos endpoints de acesso inicial.”
Acredita-se que essa abordagem tenha sido uma escolha deliberada dos atacantes. Enquanto o implante da primeira etapa foca no acesso inicial em larga escala, as informações obtidas nessa fase provavelmente são usadas para identificar vítimas consideradas de maior valor de inteligência e intensificar a coleta contra elas.
Além disso, o BlueDelta vem ajustando continuamente seu modo de operação para atender melhor às necessidades operacionais, chegando ao ponto de remover o canário de abertura do documento, que capturava os endereços IP das vítimas quando o arquivo era aberto. Embora a motivação para essa mudança não esteja clara, suspeita-se que a medida tenha como objetivo reduzir indicadores de comprometimento baseados na rede.
Para conter a ameaça, organizações são aconselhadas a priorizar o bloqueio da execução de macros em documentos originados da internet e implementar detecção para abuso de tarefas agendadas, execução sem interface gráfica do Microsoft Edge e conexões de saída para serviços do webhook.
“O BlueDelta continua investindo em ferramentas leves e facilmente adaptáveis de acesso inicial para apoiar a coleta de inteligência contra alvos governamentais e diplomáticos europeus”, concluiu a empresa de cibersegurança. “Em vez de introduzir novas capacidades, o grupo vem refinando de forma constante suas táticas já conhecidas, com foco em resiliência operacional ao adaptar ferramentas consolidadas às medidas defensivas e às restrições de infraestrutura em evolução.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...