BlueDelta colpisce difesa e diplomazia europea con la backdoor HOOKEDGE

🛡️ Executive Summary

• BlueDelta, collegato ad APT28 e al GRU russo, ha colpito obiettivi diplomatici e della difesa in Romania, Spagna e Türkiye con documenti Word malevoli.
• HOOKEDGE è una backdoor batch leggera che usa task pianificati, Microsoft Edge e webhook.site per ricevere comandi ed esfiltrare i risultati.
• Le varianti più recenti allungano il beaconing per eludere sandbox e usano un secondo stadio più rapido sui target considerati di maggiore valore intelligence.

BlueDelta, il cluster russo sovrapposto alle attività note come APT28, Fancy Bear e Forest Blizzard, ha sviluppato una nuova backdoor Windows chiamata HOOKEDGE per operazioni di spionaggio contro organizzazioni governative, diplomatiche e della difesa europee. L’attività ricostruita da Recorded Future Insikt Group parte almeno da settembre 2025 e coinvolge obiettivi in Spagna, Romania e Turchia, con documenti Microsoft Word dotati di macro utilizzati come vettore iniziale. HOOKEDGE non introduce una piattaforma particolarmente complessa: sfrutta script batch, task pianificati, istanze nascoste di Microsoft Edge e il servizio legittimo webhook.site per comando e controllo, staging ed esfiltrazione. La forza dell’operazione risiede proprio nella capacità di nascondere attività di intelligence dentro strumenti e traffico apparentemente ordinari.

HOOKEDGE nasce dalla stessa architettura di HEADLACE

Secondo l’analisi tecnica pubblicata da Recorded Future Insikt Group, l’attribuzione a BlueDelta viene formulata con moderata confidenza sulla base della sovrapposizione di codice, infrastruttura, targeting e tecniche operative con precedenti campagne del gruppo. HOOKEDGE condivide infatti elementi strutturali con HEADLACE, backdoor già utilizzata dallo stesso attore: entrambe impiegano Windows batch, infrastrutture Internet legittime per il C2 e browser nascosti per comunicare con i server controllati dagli operatori. Anche alcuni payload JavaScript del secondo stadio presentano variabili, struttura, proprietà e sistemi di encoding Base64 sovrapponibili. Recorded Future interpreta quindi HOOKEDGE non come un arsenale completamente nuovo, ma come un’evoluzione diretta di HEADLACE, adattata progressivamente alle nuove difese e alle necessità operative. Il collegamento è particolarmente significativo perché APT28 aveva già utilizzato HEADLACE nelle proprie campagne contro obiettivi governativi e strategici europei, insieme ad altri strumenti come MASEPIE, OCEANMAP e STEELHOOK.

Le esche diplomatiche seguono eventi reali tra Spagna e Moldova

La campagna mostra una selezione delle esche coerente con operazioni di intelligence e non con una distribuzione indiscriminata di malware. Il primo documento individuato da Insikt Group, osservato il 26 settembre 2025, imitava un’agenda del Ministero della Presidenza, Giustizia e Rapporti con le Cortes spagnolo relativa a interlocuzioni diplomatiche. Il file fu creato poco dopo un incontro dell’8 settembre tra rappresentanti spagnoli e moldavi, in prossimità delle elezioni parlamentari moldave dello stesso mese. Recorded Future non ha potuto verificare l’autenticità del documento utilizzato come esca, ma sottolinea che BlueDelta ha già sfruttato materiali governativi reali o pubblicamente disponibili per aumentare la credibilità dello spearphishing.

Successivamente, tra ottobre e dicembre, gli operatori hanno semplificato le esche ricorrendo a documenti generici che invitavano ad abilitare le macro attraverso la classica richiesta “Enable Content”, mostrando poi un falso errore di Word. Parte di queste attività viene collegata a probabili obiettivi romeni, mentre nell’aprile 2026 sono emerse varianti indirizzate a organizzazioni in Türkiye. La scelta dei bersagli viene valutata come compatibile con esigenze russe di raccolta intelligence su governi europei, difesa e dossier collegati alla Moldova e alla NATO.

Leggi anche: APT28 sfrutta CVE-2026-21509 in Microsoft Office contro istituzioni ucraine ed europee

La macro installa sei file e crea la persistenza con un task pianificato

Quando la vittima abilita le macro, la routine AutoOpen() incorporata nel documento Word avvia la catena di infezione e scrive sei componenti nella directory %userprofile%. Tra questi sono presenti il payload batch di HOOKEDGE, un launcher VBS, uno script CMD utilizzato come installer e file HTML/XHTML necessari allo staging dell’esfiltrazione.

Il launcher crea quindi un Scheduled Task che richiama periodicamente la backdoor. Nelle configurazioni iniziali osservate, l’esecuzione avvieneva ogni 30 minuti. Una volta stabilita la persistenza, installer, launcher e file di definizione del task vengono eliminati, riducendo gli artefatti disponibili per l’analisi forense. Un elemento peculiare riguarda la nomenclatura: quasi tutti i file vengono chiamati utilizzando lo stesso GUID associato agli endpoint webhook impiegati dall’operazione.

BlueDelta inserisce inoltre nei documenti immagini invisibili che puntano a percorsi come docopened.jpg: quando il file viene aperto, la richiesta remota funziona come una sorta di canary, notificando agli operatori che il bersaglio ha interagito con l’esca ancora prima dell’esecuzione completa del malware. Sono stati osservati anche endpoint mailopened.jpg, utilizzabili per distinguere l’apertura dell’email dall’apertura del documento e dall’effettiva compromissione.

Microsoft Edge diventa il canale per comandi ed esfiltrazione

Il cuore operativo di HOOKEDGE è estremamente leggero. La backdoor non necessita di un sofisticato agente binario residente: viene eseguita periodicamente, contatta un endpoint di staging, recupera comandi sotto forma di file, li esegue e rimanda l’output attraverso un secondo webhook. La peculiarità è l’utilizzo di msedge.exe per entrambi i flussi. HOOKEDGE avvia Microsoft Edge in modalità headless o con finestra nascosta e utilizza il browser per interrogare webhook.site.

L’HTML restituito dal servizio contiene JavaScript che provoca il download automatico dei componenti destinati all’esecuzione. I frammenti vengono concatenati in un .cmd, eseguiti sul sistema e il risultato viene salvato temporaneamente. La backdoor costruisce quindi un documento HTML che ingloba l’output e lo apre nuovamente attraverso Edge: un form viene inviato automaticamente al webhook dedicato all’esfiltrazione. In questo modo il traffico malevolo viene generato da un browser Microsoft legittimo, rendendolo potenzialmente meno evidente rispetto alle comunicazioni originate da un binario sconosciuto o da strumenti living-off-the-land maggiormente monitorati. È un’evoluzione coerente con il comportamento già osservato nelle campagne APT28 che sfruttano servizi Internet legittimi per mascherare download e C2.

BlueDelta seleziona i target migliori con un secondo HOOKEDGE

Uno degli elementi più interessanti della campagna è la presenza di un secondo livello operativo. Il primo HOOKEDGE funziona come impianto iniziale e consente agli operatori di verificare quali vittime abbiano effettivamente eseguito il documento e stabilito una comunicazione utile. Su alcuni sistemi considerati presumibilmente più importanti, BlueDelta installa quindi una seconda istanza della backdoor, configurata con endpoint differenti e un intervallo di beaconing molto più rapido. Recorded Future ha osservato secondi stadi capaci di interrogare l’infrastruttura ogni cinque minuti, contro intervalli molto più lunghi dell’impianto iniziale. La differenza permette agli operatori di passare da un accesso iniziale relativamente silenzioso a una modalità più interattiva, nella quale comandi e output possono essere scambiati rapidamente. Questa strategia risponde anche a un limite concreto del servizio utilizzato: il piano gratuito di webhook.site consente un numero finito di richieste per endpoint. Separando la fase iniziale dalla raccolta attiva, BlueDelta evita che una vittima particolarmente interessante consumi troppo rapidamente le risorse dell’infrastruttura destinata alla campagna generale. La backdoor diventa quindi anche uno strumento di triage dell’intelligence, utile a distinguere i sistemi compromessi di scarso interesse da quelli sui quali investire tempo operativo.

Il beacon supera l’ora per ridurre l’efficacia delle sandbox

HOOKEDGE è stato modificato ripetutamente nel corso dei mesi senza alterarne la filosofia. Le prime varianti utilizzavano intervalli di 20 o 30 minuti; successivamente BlueDelta ha portato il beacon del primo stadio fino a 61 minuti. Il dettaglio è tutt’altro che casuale: molte sandbox automatizzate osservano un campione per finestre temporali inferiori o prossime ai 60 minuti, quindi un malware che rimane inattivo poco più a lungo può evitare che la comunicazione di rete venga registrata durante l’analisi. L’intervallo maggiore consente inoltre di consumare più lentamente il numero limitato di richieste gratuite disponibili su webhook.site. Nel tempo BlueDelta ha anche sostituito l’esecuzione headless di Edge con finestre nascoste, introdotto i canary per il monitoraggio delle email e successivamente eliminato alcuni beacon legati all’apertura dei documenti. Campioni osservati nel giugno 2026 mostrano ulteriori modifiche all’offuscamento VBA, mentre nelle attività di luglio Recorded Future rileva la rimozione del canary di document-open da alcune configurazioni. Più che cercare una nuova backdoor ogni pochi mesi, il gruppo sembra quindi privilegiare modifiche minime ma operative, mirate a ridurre indicatori di rete, aggirare l’analisi automatizzata e mantenere utilizzabile una catena già collaudata.

webhook.site trasforma un servizio legittimo in infrastruttura di spionaggio

L’intera operazione si appoggia a webhook.site, servizio pubblico progettato per ricevere e analizzare richieste HTTP durante sviluppo, test e integrazione delle applicazioni. BlueDelta lo utilizza per almeno tre funzioni: monitoraggio delle aperture, staging dei comandi ed esfiltrazione dei risultati. Questa scelta elimina la necessità di registrare domini o mantenere server C2 dedicati e permette agli operatori di mescolare il traffico con connessioni HTTPS verso una piattaforma legittima. Insikt Group sottolinea che il gruppo ha già dimostrato la capacità di migrare tra servizi analoghi: nelle precedenti operazioni HEADLACE aveva utilizzato mocky.io, passando poi a webhook.site. Per questo un eventuale blocco del servizio non eliminerebbe necessariamente il modello operativo, ma potrebbe semplicemente spingere BlueDelta verso un’altra piattaforma Internet legittima. È un problema crescente per i difensori: bloccare indiscriminatamente servizi Web utilizzati anche da sviluppatori e applicazioni reali può avere impatti operativi, mentre consentirli senza controllo crea un canale facilmente sfruttabile per C2 ed esfiltrazione.

Continua con:

• APT28 sfrutta CVE-2026-21513 e MSHTML per aggirare le protezioni di Windows
• Fancy Bear usa vulnerabilità di Outlook e WinRAR nelle campagne contro governi e difesa

Difendersi da HOOKEDGE richiede controllare documenti, task e traffico Edge

Recorded Future indica come prima misura il blocco dell’esecuzione delle macro nei documenti provenienti da Internet, riducendo direttamente il principale vettore osservato. Gli ambienti governativi, diplomatici e della difesa dovrebbero inoltre monitorare la creazione anomala di Scheduled Task, in particolare quando eseguono script .bat, .cmd o .vbs da directory appartenenti al profilo utente. Un altro segnale rilevante è l’avvio di Microsoft Edge senza una normale interazione dell’utente, soprattutto se il processo viene eseguito in modalità nascosta o genera connessioni ripetitive verso webhook.site. Il monitoraggio deve comprendere anche sequenze di file con nomi GUID, download temporanei anomali e richieste HTTP POST generate dal browser verso endpoint webhook. La campagna conferma soprattutto una caratteristica ormai consolidata di APT28: gli strumenti più efficaci per lo spionaggio non devono necessariamente essere sofisticati. HOOKEDGE utilizza macro, script batch, JavaScript, task pianificati e un browser installato praticamente su ogni sistema Windows. È l’integrazione di questi elementi dentro una catena selettiva, continuamente adattata e costruita attorno a infrastrutture legittime a rendere l’operazione difficile da distinguere dal rumore quotidiano di una rete enterprise. Per BlueDelta la priorità continua a essere la stessa: ottenere accesso discreto, identificare i bersagli realmente utili e aumentare l’intensità della raccolta soltanto quando il valore intelligence lo giustifica.