APT28 usa Hookedge y un cargador inédito contra defensa y policía de dos países de la OTAN

El equipo de inteligencia de Symantec informó el 20 de octubre sobre actividad de Swallowtail, también conocido como APT28, Fancy Bear o Forest Blizzard, contra una agencia policial, un astillero naval y un fabricante de motores para aeronaves militares en dos países europeos de la OTAN.

Symantec vincula al grupo con la inteligencia militar rusa en línea con atribuciones gubernamentales previas. Las organizaciones y países no fueron identificados, por lo que la divulgación permite analizar técnicas, pero no confirmar públicamente el impacto en víctimas concretas.

En el astillero, un adjunto de Word con macros inició Hookedge el 24 de julio. La puerta trasera usó una ventana oculta de Edge y webhook.site para recibir tareas; una segunda etapa pasó a infraestructura dedicada para mando y exfiltración.

Los atacantes robaron material de credenciales, forzaron una autenticación NTLM local y colocaron una clave SSH para abrir un túnel persistente desde su servidor hacia la red interna. La intrusión duró al menos dos meses y registró actividad manual repetida.

El informe describe por primera vez ld.exe, un cargador reflectivo que descifra una carga en memoria con una clave entregada en tiempo de ejecución. Symantec no recuperó la carga final, por lo que su función última permanece desconocida.

Los defensores deben bloquear macros de documentos provenientes de Internet, vigilar Edge iniciado con data: y ventanas fuera de pantalla, detectar túneles SSH inversos y correlacionar scripts que capturen NTLM. Los indicadores publicados requieren contexto y no sustituyen una investigación de comportamiento.