Свързаната с Русия спонсорирана от държавата хакерска група, проследявана като APT28 (позната още като BlueDelta, Fancy Bear и Forest Blizzard), бе свързана с атаки, насочени срещу две държави членки на Организацията на Северноатлантическия договор (НАТО).
Екипът Symantec Threat Hunter Team, който проследява клъстера от дейности под наименованието Swallowtail, съобщи за използването на задна врата (backdoor), наречена HOOKEDGE, както и на непознат досега лоудър, проектиран да декриптира и изпълнява криптиран зловреден код директно в паметта чрез криптографски ключ, предоставян по време на изпълнение.
Мишените на тази дейност включват правоприлагащ орган, военноморска корабостроителница и производител на двигатели за военни самолети – организации, съхраняващи информация, която би представлявала интерес за чуждестранна разузнавателна служба, поясниха от звеното за анализ на заплахите на Broadcom.
„По време на една от атаките срещу военноморската корабостроителница нападателите са се връщали многократно към компрометирания хост в продължение на седмица в рамките на директни интерактивни действия от клавиатурата“, заяви Symantec в доклад, споделен с The Hacker News. „Те са откраднали идентификационни данни с помощта на две отделни техники, изградили са постоянен SSH тунел към вътрешната мрежа на организацията и са внедрили непознат досега рефлективен лоудър.“
Използването на HOOKEDGE от страна на APT28 за първи път беше публично документирано от Recorded Future Insikt Group в края на август 2026 г. във връзка с кибереспионажна кампания, насочена срещу правителствени и дипломатически организации в Румъния, Испания и Турция между септември 2025 г. и началото на април 2026 г.
HOOKEDGE показва значително припокриване в кода и оперативните методи с HEADLACE – модулен Windows имплант, който APT28 използва в атаки срещу дипломати от април 2023 г. Доставян чрез целеви фишинг примамки, HOOKEDGE представлява опростен Windows команден скрипт (batch script), способен да приема команди от атакуващите и да връща резултатите от тях.
Задната врата се разпространява чрез документи на Microsoft Word с активирани макроси и комуникира изцяло чрез webhook[.]site адрес, който служи като канал за организиране на задачите и получаване на изходните данни от изпълнението. След това заразените машини извличат тези задачи чрез скрита, работеща извън екрана инстанция на браузъра Microsoft Edge, вместо да разчитат на традиционен даунлоудър.
При атаката, насочена срещу военноморската корабостроителница в края на юли 2026 г., киберпрестъпниците са използвали нови варианти на HOOKEDGE, които изоставят употребата на webhook[.]site в полза на специален IP адрес (185.82.218[.]119:443) както за задаване на команди, така и за ексфилтрация на данни.
„Атакуващите са приложили две различни техники за кражба на идентификационни данни“, съобщиха от Symantec. „При едната те са качили частен SSH ключ на компрометирания хост и незабавно са го използвали, за да отворят SSH връзка обратно към собствения си сървър, създавайки постоянен фонов тунел, осигуряващ достъп от тяхната инфраструктура до вътрешната мрежа на целта.“
„При другата те са стартирали кратък, самостоятелен PowerShell скрипт, който вдига слушащ порт на локалния адрес (loopback) на самия хост и принуждава машината да се автентикира към него, прихващайки полученото NTLM ръкостискане.“
Наблюдава се също така, че нападателите са инсталирали нов рефлективен лоудър (ld.exe) чрез curl команда през SSH, създаден с цел декодиране и изпълнение на компонент от следващ етап. Точното естество на инжектирания код остава неизвестно.
Най-скорошната активност е регистрирана на 24 септември 2026 г., когато във вътрешната мрежа на корабостроителницата е засечен Visual Basic Script стартиращ файл, свързан с HOOKEDGE. Все още не е ясно дали са били откраднати данни в резултат на тези прониквания.
„Оперативните похвати, наблюдавани след първоначалния достъп – кражба на идентификационни данни чрез две независими техники, постоянен мрежов тунел и непознат досега лоудър – надхвърлят механизмите за доставка, които са били публично докладвани за тази кампания досега“, отбелязва Symantec.
Атаки срещу Украйна през първата половина на 2026 г.
В доклад, публикуван в края на миналия месец, Украинският екип за реагиране при компютърни инциденти (CERT-UA) разкри, че руски хакери все по-често атакуват смартфоните на украински военнослужещи и държавни служители с цел шпионаж и финансово мотивирани атаки.
„Нарастващата роля на смартфоните в комуникацията между военнослужещи, държавни служители и цивилни ги превръща в по-привлекателни мишени за разузнавателни дейности, последващо компрометиране и финансово мотивирани атаки“, посочват от агенцията.
Това включва използването на комплекта за експлойти DarkSword за iOS, който се разпространява чрез атаки от тип „водопой“ (watering-hole) през компрометирани легитимни украински новинарски сайтове и държавни портали с цел източване на чувствителни данни от компрометираните устройства.
„Инструментът е свързан с руски злонамерени субекти, а използването му срещу украински цели показва нарастващия интерес на противника към платформата iOS, която преди се считаше за относително сигурна“, отбелязват от агенцията.
Констатациите съвпадат с доклад на Google Threat Intelligence Group (GTIG) от март 2026 г., който свързва руския шпионски субект UNC6353 с използването на комплектите Coruna и DarkSword в кампании тип „водопой“, насочени срещу украински потребители от лятото на 2025 г.
Заплахите се разпростират и върху екосистемата на Android, като групите UAC-0244 и UAC-0263 използват приложения-примамки за разпространение на две различни семейства зловреден софтуер:
- UAC-0244 разпространява CAMELSPY, който събира системна информация за устройството, геолокация, данни от SIM картата, контакти, регистри на повикванията и изображения от галерията.
- UAC-0263 разпространява BTMOB RAT, предоставящ на атакуващите контрол върху заразеното устройство и възможност за ексфилтрация на данни.
От CERT-UA посочват още, че са наблюдавали APT28 да експлоатира уязвимости като CVE-2026-21509 (заобикаляне на защитните функции в Microsoft Office) и CVE-2026-8496 (уязвимост без кликване/zero-click в уебмейл клиента SOGo), за да разпространява зловредния софтуер COVENANT, както и да източва съответно данни и пароли от пощенските кутии на жертвите.
„В същото време авторите на заплахата не са изоставили по-старите, изпитани – но за съжаление все още ефективни – подходи“, посочват от CERT-UA. „По-специално се наблюдават атаки, експлоатиращи XSS уязвимости в уебмейл клиента Roundcube. За по-нататъшното разпространение на COVENANT се използват и документи на Excel, съдържащи макроси.“
Тези нападения са част от 3137 киберинцидента, регистрирани от CERT-UA през първата половина на 2026 г., което представлява ръст от приблизително 8% в сравнение с втората половина на 2025 г.
Тези разкрития идват в момент, когато от Team Cymru съобщиха, че са идентифицирали още пет сървъра за командване и контрол (C2) на LegionRelay, използвани при атаки срещу украински организации. IP адресите са изброени по-долу:
91.149.221[.]118:800091.149.221[.]123:8000166.88.239[.]54:8000194.87.108[.]12:8000194.87.108[.]217:8000
LegionRelay е наименованието на троянец за отдалечен достъп (RAT), базиран на PowerShell, който поддържа обхождане и извличане на файлове, заснемане на екрана, кражба на данни от браузъри, извличане на данни от Telegram и WhatsApp, както и конфигуриране на RDP достъп. Той се приписва на злонамерения субект с псевдоним GREYVIBE, за когото се счита, че извършва целенасочени и постоянни атаки срещу Украйна и свързани с нея субекти поне от август 2025 г.