Il gruppo Fancy Bear, noto per le sue operazioni di spionaggio, ha compromesso due produttori di equipaggiamento militare e un'agenzia di polizia in paesi dell'OTAN, usando il backdoor Hookedge e un loader ancora sconosciuto.
Nel corso degli ultimi mesi, ricercatori di Symantec hanno identificato una serie di compromissioni attribuite al gruppo APT28 (noto anche come Fancy Bear o Forest Blizzard), connesso all'agenzia di intelligence russa GRU. Le vittime includono un costruttore navale, un produttore di motori per aerei militari e un'agenzia di polizia di uno Stato membro dell'OTAN. L'attacco è stato caratterizzato da attività manuale e mirata, suggerendo un obiettivo strategico piuttosto che un semplice malware casuale.
Gli obiettivi scelti dallo APT28 sembrano essere stati selezionati con cura:
Il contesto geopolitico suggerisce che la spinta sia orientata a raccogliere informazioni su paesi che supportano l'Ucraina nella guerra contro la Russia. L'attacco, dunque, può essere visto come parte di una più ampia campagna di intelligence europea.
Symantec ha rilevato che gli aggressori hanno ripetutamente acceduto a un host compromesso per un periodo di una settimana, eseguendo operazioni manuali. Questo comportamento indica l'intervento diretto di un operatore umano, non di un malware autonomo, confermando l'interesse reale verso l'obiettivo.
Il gruppo ha impiegato il Hookedge, un backdoor identificato per la prima volta da Recorded Future nel 2023. Hookedge è stato usato in precedenti attacchi contro obiettivi di difesa e diplomatici in Romania, Spagna e Turchia. La sua presenza in questa campagna dimostra la continuità delle tecniche di APT28.
Una scoperta significativa è stata l'uso di un loader non documentato, denominato ld.exe. Questo strumento decripta il payload in memoria e richiede una chiave fornita al momento dell'esecuzione. Senza la chiave e il file cifrato, il payload non può essere recuperato, rendendo difficile l'analisi post‑esecuzione. Symantec non è riuscita a decifrare il contenuto, quindi la sua funzione rimane sconosciuta.
L'attacco del APT28 contro aziende di difesa e agenzie di polizia dell'OTAN evidenzia la crescente sofisticazione delle operazioni di spionaggio statale. L'uso di Hookedge e di un loader non documentato dimostra la capacità del gruppo di evolvere le proprie tattiche per evitare la rilevazione. Le organizzazioni coinvolte devono rafforzare le difese, adottare pratiche di sicurezza più rigorose e collaborare a livello internazionale per contrastare minacce di questo calibro.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
