Een door Rusland gelinkte dreigingsactor, bekend als APT28 (ook: BlueDelta, Fancy Bear en Forest Blizzard), is gekoppeld aan inbraken bij doelwitten in een NAVO-land. In de berichtgeving staat vooral één casus centraal: een aanval op een schipbouwer waarbij aanvallers op hardnekkige wijze terugkeerden op een gecompromitteerde host, met opvallende techniek voor het uitvoeren van code in het geheugen.
Volgens Symantec Threat Hunter Team, dat de activiteit groepeert onder de naam Swallowtail, werden meerdere componenten ingezet. De combinatie van HOOKEDGE, diefstal van inlogmateriaal, een persistente netwerkverbinding en een nog niet eerder gedocumenteerde reflective loader laat zien dat het hier om meer gaat dan eenmalige toegang—het draait om het opzetten van langdurige controle en stille uitvoering.
Wie is APT28 en waarom is dit relevant?
APT28 wordt al langer geassocieerd met spionagecampagnes. Bij dit incident gaat het om aanvallen die gericht zijn op organisaties waar informatie van waarde kan zitten voor een buitenlandse inlichtingendienst. In de berichtgeving worden onder meer een wetshandhavingsinstantie, een naval shipbuilder en een fabrikant van militaire vliegtuig-motoren genoemd.
Het NAVO-aspect is extra reden om alert te zijn: het toont aan dat statelijke dreigingen hun focus blijven verleggen naar strategische ketens en infrastructuur in landen die onder de NAVO-vlag vallen.
Swallowtail: HOOKEDGE als startpunt
Symantec koppelt de campagne aan een cluster van activiteit waarin de backdoor HOOKEDGE een rol speelt. HOOKEDGE is voor het eerst publiekelijk in kaart gebracht door Recorded Future’s Insikt Group in augustus 2026, in samenhang met een cyberespionagecampagne tegen overheids- en diplomatieke organisaties in Roemenië, Spanje en Turkije.
Op technisch niveau valt HOOKEDGE op door de eenvoud en modulariteit van de aanpak. Het wordt beschreven als een barebones Windows batch-script dat commando’s van een aanvaller kan ontvangen en resultaten kan terugsturen.
Levering via macrodocumenten en webhook-achtige taakuitgifte
Volgens de bron wordt HOOKEDGE geleverd via macro-geactiveerde Microsoft Word-documenten. De communicatie verloopt volledig via een webhook-achtige endpoint (beschreven als een webhook[.]site URL), die wordt gebruikt om taken te “stagen” en uitvoer terug te krijgen.
Een belangrijk detail is dat geïnfecteerde systemen taken ophalen via een verborgen, off-screen instantie van Microsoft Edge. Dat betekent dat de malware niet altijd leunt op een klassieke “downloader”-keten, maar eerder op een werkwijze waarbij de browsercomponent helpt bij taakdistributie en interactie.
De APT28 schipbouwer: terugkeer op een gecompromitteerde host
Het kernstuk voor organisaties die zich met risicobeheersing bezighouden: bij de NAVO-schipbouwer zouden aanvallers gedurende ongeveer een week meerdere keren hebben teruggekeerd op dezelfde gecompromitteerde machine. Symantec beschrijft dit als gedrag dat past bij hands-on-keyboard acties.
Daarbij rapporteert Symantec ook dat er credential material is gestolen met twee afzonderlijke technieken. Dat wijst op een campagne die niet alleen toegang wil, maar ook de mogelijkheid om binnen het netwerk verder te bewegen en later terug te keren.
Twee technieken voor credential theft
- SSH private key plaatsen en direct benutten: de aanvallers zouden een SSH private key op het doelapparaat hebben gezet en die meteen hebben gebruikt om een SSH-verbinding terug te openen. Daarbij werd gevraagd om een persistente, “backgrounded” tunnel zodat de aanvaller vanuit hun infrastructuur een route kon krijgen naar het interne netwerk.
- PowerShell die een listener forceert en NTLM vangt: daarnaast werd een kort PowerShell-script ingezet dat een listener op het loopback-adres activeert. Door authenticatie af te dwingen, kon men de NTLM-handshake opvangen.
Voor defenders is dit een duidelijke hint: let niet alleen op “wat” er is uitgevoerd, maar ook op welke authenticatiestromen plotseling zichtbaar worden, en of er ongebruikelijke SSH- of authenticatiepatronen ontstaan op endpoints binnen dezelfde organisatie.
Persistente toegang: een SSH-tunnel naar het interne netwerk
De bron benadrukt dat er een persistente SSH-tunnel werd opgezet. Zo’n tunnel is vaak bedoeld om stabiele toegang mogelijk te maken, zelfs wanneer initiële fasen worden gedetecteerd of wanneer andere mechanismen minder betrouwbaar blijken.
In de context van de APT28 schipbouwer is het extra zorgwekkend dat de aanvallers terugkeerden tijdens een week, wat wijst op een doelbewuste operatie met een werkende toegangslijn.
Nieuw onderdeel: reflective loader die payload in het geheugen draait
Naast HOOKEDGE werd ook een voorheen onbekende loader ingezet, die is ontworpen om een gecodeerde payload te decrypteren en vervolgens in memory uit te voeren. Daarbij levert de aanvaller de benodigde cryptografische sleutel via runtime-input.
Dit sluit aan bij een bredere trend: in-memory uitvoering verkleint het “klassieke” zicht op een geïnfecteerd systeem, omdat er minder of anders gedrag zichtbaar wordt dan bij traditionele dropper- en executiepatronen op schijf.
Van webhook naar een vaste endpoint voor taakgeving en exfiltratie
In de aanval op de schipbouwer (late juli 2026) zou HOOKEDGE-gedrag zijn aangepast: nieuwe varianten zouden de eerdere webhook[.]site niet meer gebruiken en in plaats daarvan werken met een specifiek IP-adres (beschreven als 185.82.218[.]119:443) voor zowel taakuitgifte als exfiltratie.
Het gevolg voor monitoring is praktisch: sta niet alleen stil bij één vaste IOC-vorm. Varianten kunnen wisselen tussen taakkanalen, waardoor detectie breder moet worden ingericht dan alleen “zoek op een specifieke URL”.
Extra activiteit: ld.exe en een Visual Basic Script launcher
De bron vermeldt ook dat aanvallers een nieuwe reflective loader met de naam ld.exe zouden hebben neergezet via een curl-commando via SSH. De loader is beschreven als een decoder die een next-stage component uitvoert.
Verder werd op 24 september 2026 binnen het netwerk van de schipbouwer een Visual Basic Script launcher gerelateerd aan HOOKEDGE waargenomen. Of daarbij ook daadwerkelijk data is gestolen, is in de bron niet duidelijk.
Breder dreigingsbeeld: APT28 richt ook op smartphones en kwetsbaarheden
Naast de NAVO-gerelateerde casus beschrijft de bron ook bredere campagnes tegen Oekraïense doelen in de eerste helft van 2026. CERT-UA stelt dat Russische aanvallen steeds vaker gericht zijn op smartphones van militair en overheidspersoneel—onder meer omdat mobiele communicatie waardevolle context biedt en apparaten aantrekkelijk zijn voor zowel spionage als financieel gemotiveerde acties.
Daarbij komt het gebruik van een iOS exploit kit (genoemd als DarkSword) die via watering-hole-aanvallen wordt verspreid via gecompromitteerde legitieme nieuws- en overheidswebsites. Voor Android worden decoy-apps genoemd die twee verschillende malwarefamilies zouden droppen: CAMELSPY (informatie-stealing) en BTMOB RAT (controle over het apparaat en data-exfiltratie).
Ook wordt vermeld dat CERT-UA gevallen ziet waarin APT28 kwetsbaarheden in Microsoft Office (CVE-2026-21509) en de SOGo webmail client (CVE-2026-8496) zou benutten om respectievelijk malware te leveren en mailboxgegevens of credentials te verzamelen. Daarnaast worden oudere technieken zoals XSS in Roundcube en Excel-documenten met macros genoemd als terugkerend patroon.
Wat kun je vandaag doen tegen dit type aanval?
Los van de exacte malware blijft de belangrijkste les: deze campagne combineert initiële toegang, credential theft, persistente netwerktoegang en complexe uitvoering (reflective loader, in-memory decrypteren/uitvoeren). Je kunt daarop sturen met maatregelen die de keten doorbreken.
- Monitor verdacht authenticatie- en tunnelgedrag: let op ongebruikelijke SSH-verbindingen, persistente tunnels en plotselinge NTLM-handshakes.
- Besteed aandacht aan macro-levering en afwijkend procesgedrag: vooral wanneer macrodocumenten worden gebruikt om een keten te starten.
- Verdiep je endpoint- en netwerkzicht: reflective loaders zijn lastiger te herkennen via “klassieke” file footprints, dus kijk ook naar in-memory gedrag, decodeer- en exec-patronen, en netwerkinteractie naar taak- of exfilkanalen.
- Herzie je incident-response playbooks: als aanvallers gedurende dagen of een week terugkeren op dezelfde host, is snelle triage en containment cruciaal.
Wil je dit in een breder perspectief plaatsen richting AI- en agentgedreven risico’s en governance, dan kan ook dit artikel helpen: Tackling wild code met goede AI-security governance. Voor meer context over hoe dreigingen credentials en toegang kunnen misbruiken binnen Microsoft-ecosystemen, lees eveneens Microsoft: rogue AI-agents beperken met Dynamic Permissions.
Conclusie
De koppeling van APT28 schipbouwer-incidenten aan HOOKEDGE en een reflective loader laat zien hoe statelijke actoren meerdere lagen combineren: van leveringsmechanismen met macro’s, via taakcommunicatie en persistente tunnels, tot in-memory uitvoering met runtime-cryptosleutels.
Voor organisaties betekent dit vooral één ding: richt detectie en response niet op één signaal, maar op de hele aanvalsketen—zeker wanneer er aanwijzingen zijn dat aanvallers terugkeren naar een gecompromitteerde host en zo langere tijd controle opbouwen.
Bron: https://thehackernews.com/2026/10/russian-apt28-breaches-nato-naval.html
