Russian APT28 Breaches NATO Naval Shipbuilder in NATO Country, Deploys New Reflective Loader
The Hacker News · 20 oct, 13:06
El grupo de ciberespionaje estatal ruso APT28 ha comprometido a un astillero naval y otras entidades militares en países de la OTAN, utilizando el backdoor HOOKEDGE y un nuevo reflective loader no documentado previamente. Los atacantes demostraron actividades avanzadas de hands-on-keyboard, robaron credenciales mediante dos técnicas distintas y establecieron túneles SSH persistentes en la red interna de las víctimas durante varias semanas.
Symantec ha atribuido a APT28 ataques dirigidos contra un astillero naval, una agencia de aplicación de la ley y un fabricante de motores de aviación militar en dos estados miembros de la OTAN. El análisis revela el uso del backdoor HOOKEDGE, un script batch de Windows entregado vía documentos Word con macros que se comunica a través de webhook.site o direcciones IP dedicadas. En el ataque contra el astillero en julio de 2026, los actores utilizaron dos técnicas independientes de robo de credenciales: inyectaron una clave privada SSH e inmediatamente la utilizaron para establecer un túnel persistente, y ejecutaron un script PowerShell para capturar handshakes NTLM. También desplegaron un nuevo loader reflectivo (ld.exe) mediante comandos curl que decodifica y ejecuta componentes de siguiente etapa en memoria.
El texto también reporta actividad simultánea contra Ucrania en H1 2026, donde actores rusos dirigidos a militares y funcionarios utilizan kits de exploit como DarkSword (iOS) y malware como CAMELSPY y BTMOB RAT. APT28 específicamente explotó CVE-2026-21509 (bypass de seguridad en Microsoft Office) y CVE-2026-8496 (vulnerabilidad zero-click en SOGo) para entregar COVENANT y robar credenciales de buzones.
Puntos clave
- HOOKEDGE es un backdoor entregado vía Word con macros que se comunica mediante webhook.site o IP dedicadas
- Reflective loader ld.exe decodifica y ejecuta payloads cifrados en memoria con clave runtime
- Técnicas de robo de credenciales: inyección de clave SSH y captura de NTLM handshake
- APT28 explotó CVE-2026-21509 y CVE-2026-8496 contra objetivos en Ucrania
- Actividad prolongada de hands-on-keyboard durante una semana en el astillero naval