Grupo APT28 amplia campanha de espionagem com novo backdoor para Windows
Uma campanha de ciberespionagem atribuída com confiança moderada ao grupo BlueDelta, associado à inteligência militar russa e conhecido também como APT28, passou a utilizar um novo backdoor direcionado a computadores com Windows. A operação teria como foco a coleta de informações estratégicas em instituições públicas, organizações diplomáticas e empresas ligadas ao setor de defesa na Europa.
Os ataques foram observados entre setembro de 2025 e abril de 2026, com alvos identificados na Romênia, na Espanha e na Turquia. A escolha das vítimas indica uma operação voltada principalmente à obtenção de dados políticos, militares e industriais, em vez de ações motivadas por ganhos financeiros imediatos.
Documentos falsos iniciam a infecção
O acesso inicial ocorre por meio de campanhas de spearphishing. Os criminosos enviam arquivos do Microsoft Word cuidadosamente preparados para parecer documentos legítimos, muitas vezes relacionados a órgãos governamentais ou assuntos diplomáticos. Alguns dos arquivos analisados simulavam materiais oficiais do governo espanhol.
Para ativar a cadeia maliciosa, a vítima era induzida a clicar no botão “Enable Content”, utilizado em documentos que contêm macros. A mensagem exibida pelo Word tenta convencer o usuário de que a habilitação do conteúdo é necessária para visualizar corretamente o arquivo ou liberar informações supostamente protegidas.
Depois que a macro é executada, o documento grava componentes no diretório do usuário e inicia as etapas seguintes da infecção. O processo também cria uma tarefa agendada no Windows, mecanismo que permite ao malware ser executado novamente mesmo após a reinicialização do computador ou o encerramento da sessão.
A instalação foi projetada para dificultar investigações posteriores. Parte dos arquivos empregados durante o processo é removida depois da execução, reduzindo a quantidade de evidências disponíveis no disco e dificultando a reconstrução da sequência do ataque por equipes de resposta a incidentes.
HOOKEDGE funciona como porta de entrada
O principal componente identificado na campanha é o HOOKEDGE, um backdoor compacto desenvolvido em scripts batch. Embora seja tecnicamente simples, a ferramenta oferece aos operadores uma maneira prática de controlar máquinas comprometidas e executar comandos remotamente.
O malware verifica servidores externos em busca de instruções. Quando recebe uma ordem, executa arquivos com extensão `.cmd` no sistema infectado e encaminha os resultados aos responsáveis pela operação. Esse recurso pode ser usado para coletar informações do equipamento, identificar usuários, verificar configurações de rede, listar arquivos e preparar a instalação de outros componentes.
A utilização de scripts batch também pode ajudar os invasores a evitar a detecção imediata. Como os comandos são processados por recursos nativos do Windows, a atividade pode se misturar a tarefas administrativas legítimas, especialmente em ambientes que não monitoram de forma detalhada o uso de ferramentas de linha de comando.
Comunicação disfarçada por serviços legítimos
Para ocultar o tráfego de comando e controle, o HOOKEDGE utiliza instâncias ocultas ou executadas em modo headless do Microsoft Edge. Dessa forma, o malware pode realizar conexões sem abrir uma janela visível para o usuário.
A comunicação também aproveita o webhook.site, um serviço legítimo usado para receber e testar requisições web. Ao recorrer a uma infraestrutura desse tipo, os operadores tentam fazer com que o tráfego malicioso se pareça com uma navegação comum ou com uma integração baseada em webhooks.
Essa estratégia dificulta bloqueios fundamentados apenas na reputação do domínio. Em vez de acessar exclusivamente servidores conhecidos por atividades criminosas, o malware utiliza uma plataforma legítima, o que exige que as equipes de segurança avaliem o contexto das conexões, os processos responsáveis e o padrão de comunicação.
Em organizações consideradas prioritárias, os invasores implantaram uma segunda instância do HOOKEDGE. Essa cópia estabelecia comunicação a cada cinco minutos, permitindo respostas mais rápidas aos comandos e uma coleta mais frequente de dados. A diferença de intervalo sugere que os atacantes ajustavam a operação de acordo com o valor estratégico de cada vítima.
Relação com o backdoor HEADLACE
Pesquisadores identificaram forte semelhança entre o HOOKEDGE e o antigo backdoor HEADLACE. As ferramentas compartilham características relacionadas ao uso de scripts, à execução remota de comandos e ao modelo de comunicação empregado.
Essa proximidade pode indicar reutilização de técnicas, adaptação de ferramentas anteriores ou o desenvolvimento de uma nova variante a partir de componentes já empregados pelo grupo. Para os defensores, a conexão é relevante porque indicadores e comportamentos observados em campanhas antigas podem ajudar a identificar atividades mais recentes.
A atribuição, no entanto, permanece com grau moderado de confiança. Em operações de espionagem, diferentes grupos podem copiar códigos, métodos e infraestruturas uns dos outros. Por isso, a análise costuma considerar um conjunto de evidências, incluindo a seleção dos alvos, a engenharia social, os horários de atividade, os recursos técnicos e os padrões de comunicação.
Como as organizações podem reduzir o risco
A primeira medida de proteção é restringir o uso de macros em documentos do Office, principalmente em arquivos recebidos por e-mail ou baixados da internet. Quando houver necessidade operacional, a habilitação deve ocorrer apenas para documentos provenientes de fontes verificadas e previamente validadas.
Também é importante bloquear ou limitar a execução de scripts batch em estações que não necessitem desse recurso. O monitoramento de processos como `cmd.exe`, `wscript.exe`, `cscript.exe` e ferramentas de automação do Windows pode revelar comportamentos anormais, sobretudo quando esses processos são iniciados por aplicativos do Office.
A criação inesperada de tarefas agendadas deve gerar alertas. Regras de detecção podem avaliar o nome da tarefa, o caminho do arquivo executado, o usuário responsável pela criação e a relação com documentos recentemente abertos.
Outro ponto de atenção é o uso incomum de navegadores em segundo plano. Instâncias do Edge executadas sem interface gráfica, especialmente quando iniciadas por scripts ou aplicações que normalmente não realizam conexões externas, merecem investigação.
A defesa também deve incluir autenticação multifator, segmentação de redes, limitação de privilégios administrativos e atualização constante de sistemas. Mesmo que o backdoor consiga entrar em uma estação, essas medidas podem restringir sua capacidade de alcançar servidores sensíveis e outras áreas da infraestrutura.
Por fim, organizações públicas, diplomáticas e empresas do setor de defesa devem treinar funcionários para reconhecer anexos suspeitos, solicitações urgentes e documentos que pressionem o usuário a habilitar conteúdo ativo. A combinação de conscientização, telemetria detalhada e resposta rápida continua sendo uma das formas mais eficazes de reduzir o impacto de campanhas desse tipo.