Російські хакери APT28 атакували оборонні компанії у двох країнах НАТО
Російське угруповання APT28, яке уряд США пов'язує з військовою розвідкою ГРУ, щонайменше два місяці шпигувало за військовим суднобудівником в одній із країн НАТО. Про це повідомила команда Threat Hunter Team компаній Symantec і Carbon Black, що входять до Broadcom.
Хто такі APT28 і що вони зробили
Крім суднобудівника, хакери атакували правоохоронний орган і виробника двигунів для військових літаків. Усі три організації працюють у двох країнах НАТО. Які саме це країни, дослідники не кажуть.
Підписуйтеся на наші соцмережі
У Symantec цю групу називають Swallowtail, але її також знають як APT28, Fancy Bear і Forest Blizzard.
Угруповання роками атакує військові, оборонні та урядові структури Європи й Північної Америки. Широко про нього заговорили у 2016 році, коли хакерів пов'язали зі зламом Демократичного національного комітету США перед президентськими виборами.
Що об'єднує всі три нові цілі? Вони мають стосунок до національної безпеки та оборонної політики, тож, найімовірніше, зберігають інформацію, яка цікавить іноземну розвідку.
Дослідники вважають, що масштаб атак більше схожий на широкий збір розвідданих проти урядових і оборонних структур Європи, ніж на одну точкову операцію. Схожу картину раніше бачили і в Microsoft, коли там виявили російську кіберзагрозу Seaborgium, націлену на країни НАТО.
Як APT28 атакували оборонні компанії НАТО
- 24 липня працівник суднобудівника відкрив документ Word, який надійшов вкладенням до листа. Усередині був макрос, що встановлював бекдор Hookedge.
- Код макросу порізали на дрібні шматки, які збиралися докупи лише під час запуску. Так антивірус не міг розпізнати загрозу заздалегідь.
- Далі шкідник запускав браузер Microsoft Edge у вікні розміром 1 на 1 піксель, винесеному далеко за межі екрана.
- Через цей невидимий браузер хакери отримували команди із сервісу webhook.site і надсилали назад результати.
- Уже за дві хвилини після відкриття файлу почалася розвідка: зловмисники перевіряли, до яких сервісів можна достукатися з мережі компанії, дивилися запущені процеси та вміст папок «Завантаження», «Документи» й робочого столу.
- Через три дні, 27 липня, оператори повернулися і замість webhook.site почали працювати через власний сервер. Приблизно за пів хвилини вони видали сім команд поспіль, тобто керували атакою вручну.
- Найважливіше, що вдалося хакерам APT28: вони підкинули на комп'ютер приватний SSH-ключ і відкрили постійний тунель зі свого сервера у внутрішню мережу суднобудівника. Дослідники наголошують, що так з'явився сталий маршрут усередину мережі, а не разовий сеанс віддаленого доступу.
- Паралельно зловмисники запустили скрипт на PowerShell. Він змушував комп'ютер «авторизуватися сам у себе» і перехоплював відповіді NTLM, з яких можна дістати паролі. Такі дані зламують офлайн або використовують для входу в інші системи. Після цього хакери шукали в мережі інші сервери, зокрема, схоже, поштовий, і перевіряли, які права має обліковий запис.
- 28 липня тунель закрили. Чому, дослідники так і не з'ясували.
- 31 липня на комп'ютер потрапили два файли: ld.exe та Events.dat. Перший виявився завантажувачем, якого раніше ніхто не описував. Він розшифровує шкідливий код просто в пам'яті й запускає його.
- Зашифрований файл не спрацює без ключа, який передають лише в момент запуску.
- Що саме ховалося в Events.dat, невідомо, бо дослідникам не вдалося отримати цей файл. Через місяць ld.exe досі був на ураженому комп'ютері, а останню активність зафіксували 24 вересня.
Сам бекдор Hookedge ще в серпні 2026 року вперше описала компанія Recorded Future. За словами Symantec, те, що хакери робили після проникнення, виходить далеко за межі вже відомого: дві різні схеми крадіжки облікових даних, постійний тунель і новий завантажувач.
Тому організаціям, які знайдуть у себе сліди Hookedge, радять вважати атаку потенційно активною, а не завершеною. Шукати варто ознаки крадіжки паролів і тунелювання, а не лише видаляти сам бекдор. Відомі шкідливі файли з цієї кампанії продукти Symantec уже блокують.
Від російських хакерських груп страждають не тільки країни Альянсу. В Україні вони регулярно атакують державні структури, як-от тоді, коли зламали сотні поштових скриньок українських прокурорів і посадовців. Дедалі частіше кібератаки рф переходять з інфраструктури на військових.