APT28 viola un cantiere navale NATO: nuovo loader e accesso persistente

🛡️ Executive Summary

• Symantec attribuisce ad APT28 una campagna di spionaggio contro tre organizzazioni di due Paesi NATO: un cantiere navale, un produttore di motori aeronautici militari e un organismo di polizia.
• Nel cantiere navale gli aggressori utilizzano HOOKEDGE, acquisiscono materiale di autenticazione NTLM e realizzano un tunnel SSH persistente per accedere alla rete interna.
• Un nuovo loader riflessivo, identificato come ld.exe, esegue payload cifrati direttamente in memoria. Il contenuto del componente finale non è stato recuperato.

APT28 ha compromesso un cantiere navale situato in un Paese NATO, mantenendo accesso all’infrastruttura attraverso la backdoor HOOKEDGE e strumenti progettati per sottrarre credenziali, attraversare la rete interna ed eseguire codice direttamente in memoria. L’operazione, attribuita al gruppo russo associato all’intelligence militare GRU, rientra in una campagna che ha interessato anche un produttore di motori per aerei militari e un organismo di polizia, distribuiti in due Stati membri dell’Alleanza Atlantica. L’indagine di Symantec Threat Hunter Team, pubblicata il 20 ottobre 2026, documenta attività iniziate a luglio e rilevate fino a settembre, mostrando un’evoluzione rispetto alle precedenti campagne diplomatiche: gli aggressori non si limitano più alla distribuzione di documenti infetti, ma consolidano l’accesso per esplorare sistemi e informazioni di interesse militare.

APT28 colpisce tre organizzazioni NATO tra cantieri navali e industria aeronautica

La nuova campagna, monitorata da Symantec con il nome Swallowtail, riguarda tre organizzazioni appartenenti a settori strategici per la sicurezza europea. Gli obiettivi comprendono un’impresa impegnata nella costruzione navale, un produttore di motori aeronautici militari e un organismo di polizia, tutti potenzialmente in possesso di informazioni utili alle attività di intelligence. Nel rapporto originale pubblicato da Symantec Threat Hunter Team, i ricercatori descrivono un’intrusione durata almeno due mesi nel cantiere navale, dove gli aggressori hanno mantenuto strumenti di accesso e sviluppato una sequenza di operazioni manuali. Non sono stati pubblicati i nomi delle organizzazioni compromesse né quelli dei due Paesi NATO coinvolti, elemento che impedisce di attribuire gli episodi a specifiche industrie nazionali. L’attività presenta tuttavia una continuità tecnica con le campagne precedentemente osservate contro istituzioni governative e diplomatiche europee, nelle quali BlueDelta aveva utilizzato HOOKEDGE per colpire organizzazioni in Romania, Spagna e Turchia. Il nuovo elemento è rappresentato dalla profondità dell’intrusione e dall’interesse per settori industriali direttamente collegati alle capacità militari. L’attribuzione ad APT28 deriva dalle analisi di threat intelligence di Symantec, mentre la reale quantità di documentazione eventualmente sottratta e le finalità specifiche dell’operazione non sono state accertate pubblicamente.

Leggi anche: Spionaggio nel cuore dell’Europa: come APT28 usa Word e Microsoft Edge per rubare dati segreti

HOOKEDGE arriva con Word e trasforma Microsoft Edge in un canale di comando

L’intrusione nel cantiere navale comincia il 24 luglio 2026, quando un dipendente apre un documento Word malevolo direttamente dalla cache degli allegati di Outlook. Il file contiene macro VBA fortemente offuscate che ricostruiscono le istruzioni durante l’esecuzione e distribuiscono componenti VBScript, HTML e batch necessari ad avviare HOOKEDGE. La backdoor sfrutta Microsoft Edge come strumento per recuperare comandi e inviare risultati, aprendo una finestra nascosta e praticamente invisibile all’utente. Nelle prime fasi utilizza il servizio legittimo webhook.site, trasformandolo in un canale di comando e controllo senza ricorrere a un downloader tradizionale. Dopo una ricognizione iniziale sulle connessioni disponibili, sui processi e sulla configurazione del sistema, gli aggressori modificano la propria infrastruttura: il 27 luglio compare una seconda variante che abbandona il servizio pubblico e comunica direttamente con 185.82.218[.]119:443. Il passaggio consente di ricevere comandi ed esportarne i risultati attraverso un server controllato dagli operatori. La tecnica riprende l’abuso di componenti Windows e applicazioni legittime già associato ad APT28, che aveva sviluppato anche campagne contro Microsoft Office sfruttando vulnerabilità per aggirare i controlli di sicurezza. Il browser diventa così un intermediario apparentemente ordinario per comunicazioni che, in realtà, appartengono a una sessione di controllo ostile.

Il tunnel SSH e il furto NTLM consentono agli aggressori di esplorare la rete

Dopo avere consolidato la backdoor, gli operatori avviano una sequenza di attività manuali particolarmente significativa. In circa trenta secondi vengono eseguiti sette comandi consecutivi, a partire da whoami, seguiti da verifiche dell’ambiente e dalla preparazione di un accesso SSH. Gli aggressori depositano sul sistema una chiave privata e la utilizzano per stabilire un tunnel SSH persistente in background verso la propria infrastruttura, creando un percorso attraverso il quale raggiungere ulteriori risorse della rete interna. Successivamente impiegano PowerShell per avviare un listener locale e provocare un’autenticazione NTLM della macchina verso se stessa, registrando il relativo challenge-response NTLMv2. Le informazioni ottenute possono essere utilizzate per tentativi di recupero offline delle credenziali o, in determinate condizioni, per attacchi di relay contro altri sistemi. Non è però documentato che tali tentativi abbiano prodotto il controllo di ulteriori account privilegiati. Gli operatori eseguono anche interrogazioni DNS, controlli sui gruppi amministrativi e verifiche dei nomi dei sistemi interni, comprese risorse che sembrano appartenere all’infrastruttura di posta elettronica. La compromissione assume quindi caratteristiche di movimento laterale e ricognizione interna, distinguendosi da un’infezione limitata alla postazione iniziale. La progressione conferma l’interesse di APT28 per la raccolta di credenziali, osservato anche nella campagna BlueDelta collegata al GRU che sfruttava infrastrutture temporanee per il credential harvesting. Per i difensori, identificare HOOKEDGE rappresenta soltanto il primo passaggio: occorre stabilire quali credenziali siano state raggiunte e quali connessioni siano rimaste disponibili dopo l’accesso iniziale.

Il nuovo loader ld.exe nasconde un payload cifrato ed eseguito in memoria

L’elemento tecnico più innovativo è rappresentato da ld.exe, un loader riflessivo precedentemente non documentato che gli aggressori distribuiscono nel sistema attraverso la sessione di accesso già stabilita. Il componente riceve come argomenti un file cifrato e una chiave crittografica, decifra il contenuto direttamente in memoria e richiama la funzione esportata ExecuteLoader per eseguire il codice successivo. Nell’incidente analizzato il file cifrato era denominato Events.dat, ma Symantec non è riuscita a recuperarlo: la funzione effettiva del payload finale rimane quindi sconosciuta e non può essere identificata come uno specifico strumento di esfiltrazione o sabotaggio. Il caricamento riflessivo riduce la necessità di depositare componenti decifrati sul disco, complicando alcune forme di rilevamento e analisi forense. La presenza della chiave soltanto al momento dell’esecuzione limita inoltre la possibilità di ricostruire il comportamento completo del malware partendo dal solo loader. Gli strumenti associati alla compromissione risultavano ancora presenti nelle settimane successive e una nuova attività del launcher è stata rilevata il 24 settembre, senza che i dati permettano di distinguere con certezza tra una nuova sessione degli operatori e il semplice funzionamento della persistenza. Il comportamento si inserisce nell’evoluzione dell’arsenale russo, già documentata attraverso NotDoor, la backdoor di APT28 sviluppata per compromettere Microsoft Outlook, ma non esistono elementi per attribuire al nuovo loader capacità che non siano state effettivamente osservate.

Continua con:

Spie nel router di casa: APT28 intercetta il traffico tramite DNS hijacking

APT28 usa Signal per colpire obiettivi istituzionali ucraini con malware inediti

Lo spionaggio industriale NATO richiede controlli oltre la singola postazione compromessa

L’operazione evidenzia perché cantieri navali, produttori aeronautici e fornitori della difesa costituiscano obiettivi privilegiati dello spionaggio informatico: progettazione, processi produttivi, componentistica e relazioni con le amministrazioni militari possono avere un valore informativo indipendentemente dalla sottrazione di documenti classificati. Non esistono prove pubbliche che aziende italiane siano state coinvolte negli attacchi descritti da Symantec, ma le tecniche osservate sono rilevanti anche per le imprese della filiera nazionale della difesa. I controlli devono concentrarsi sulla presenza di documenti Office anomali, finestre Edge avviate in modalità nascosta, connessioni verso infrastrutture non autorizzate, tunnel SSH originati da postazioni Windows e autenticazioni NTLM insolite. La presenza degli indicatori HOOKEDGE richiede inoltre verifiche sulle attività successive all’infezione, non soltanto l’eliminazione del primo malware. La campagna si inserisce in una pressione più ampia contro infrastrutture e organizzazioni europee, già emersa nelle operazioni russe di guerra ibrida che coinvolgono obiettivi strategici e sicurezza continentale. Il dato decisivo non è soltanto che APT28 sia riuscito a entrare in un cantiere navale NATO, ma che abbia potuto trasformare un documento Word compromesso in un accesso persistente alla rete, sviluppando capacità di ricognizione e raccolta delle credenziali per settimane.