BlueDelta (APT28) greift europäische Regierungen mit der HOOKEDGE-Backdoor über Webhooks an

Eine Spionagekampagne zwischen September und April

Zwischen Ende September 2025 und Anfang April 2026 wurden Regierungs- und Diplomatenorganisationen in Rumänien, Spanien und der Türkei Ziel einer Spionagekampagne, die BlueDelta zugeschrieben wird, der russischen Gruppe, die auch als APT28, Fancy Bear oder Forest Blizzard bekannt ist. Die Aktivität wurde von Insikt Group dokumentiert, dem Threat-Intelligence-Unternehmen von Recorded Future, das die Operation anhand beobachteter Samples und Infrastrukturen rekonstruiert hat. Der Analyse zufolge wird die Zuordnung zu BlueDelta mit moderater Konfidenz ausgedrückt, ist jedoch konsistent mit dem Profil der Gruppe: eine russische staatliche Bedrohung, die mit der Hauptverwaltung des Generalstabs der Streitkräfte der Russischen Föderation, dem GRU, verbunden ist.

Ziel war die Sammlung von Informationen von europäischen Regierungs- und Diplomatiebehörden. Die drei betroffenen Länder weisen unterschiedliche Merkmale auf, teilen jedoch ein strategisches Interesse für Moskau: Rumänien wegen der Ostflanke der NATO, Spanien wegen der Beziehungen zu Lateinamerika und dem Mittelmeerraum, die Türkei wegen ihrer Rolle als Vermittler zwischen Europa, dem Kaukasus und dem Nahen Osten. Insikt Group geht davon aus, dass BlueDelta weiterhin Kampagnen dieser Art für den initialen Zugriff durchführen wird, da der russische Informationsbedarf zu europäischer Governance, NATO und den Beziehungen zu ehemaligen Sowjetrepubliken kurzfristig kaum abnehmen dürfte.

Word-Dokumente mit Makros als diplomatischer Köder

Der anfängliche Zugriffsvektor bestand aus Microsoft Word-Dokumenten mit Makros, begleitet von Ködern mit diplomatischem Thema. In mindestens einem Fall gab sich das Dokument als das spanische Ministerium für Präsidentschaft, Justiz und Beziehungen zu den Cortes aus. Der Köder war kurz nach einem realen Treffen zwischen spanischen und moldauischen Beamten im September 2025 erstellt worden, unmittelbar vor den moldauischen Parlamentswahlen desselben Monats. Dieses Element ist relevant: Der Inhalt des Dokuments war glaubwürdig genug, um den Phishing-Versuch plausibel erscheinen zu lassen, und der zeitliche Ablauf legt nahe, dass die BlueDelta-Operatoren die tatsächlichen diplomatischen Entwicklungen beobachteten, um zeitnahe Köder zu erstellen.

Die genauen betroffenen Microsoft Office-Versionen wurden nicht bekannt gegeben. Der Angriff nutzte jedoch eine bewährte Technik: das Opfer dazu zu bringen, Makros in einem per E-Mail empfangenen Word-Dokument zu aktivieren. Nach der Ausführung luden die Makros die nächste Nutzlast herunter und installierten sie – die HOOKEDGE-Backdoor.

HOOKEDGE: Eine Batch-Backdoor, die Edge und webhook.site nutzt

Die verteilte Nutzlast ist eine schlanke Backdoor, die als Windows-Batch-Skript geschrieben ist und HOOKEDGE genannt wird. Ihre Architektur ist bewusst einfach: Sie verwendet zwei Webhooks, einen zum Empfangen von Befehlen und einen zum Senden der entwendeten Daten. Alle 30 Minuten lädt eine geplante Windows-Aufgabe eine Befehlsdatei über Microsoft Edge herunter, führt sie aus und sendet die Ergebnisse an einen entfernten Endpunkt. Es wird weder ein häufig missbrauchtes LOLBin noch eine benutzerdefinierte Binärdatei verwendet.

Der charakteristischste Aspekt ist die Verwendung von msedge.exe, dem Browser Microsoft Edge, sowohl für den Empfang von Befehlen als auch für die Exfiltration. Durch die Erzeugung von Netzwerkverkehr über eine legitime Anwendung vermischt die Malware ihre Kommunikation mit der normalen Unternehmens-Browsing-Aktivität. Für einen Analysten, der den Datenverkehr beobachtet, erscheinen die Anfragen an webhook.site wie der Aufruf von Websites durch einen Mitarbeiter, nicht wie ein Command-and-Control-Kanal. Diese ausweichende Strategie verringert den Bedarf an ausgeklügelter Infrastruktur und setzt ganz auf die Verwechslung mit legitimem Datenverkehr.

Die als Rückgrat genutzte Infrastruktur war webhook.site, ein Dienst, der ursprünglich dazu gedacht ist, Entwicklern das Testen von HTTP-Anfragen zu ermöglichen. Die Wahl eines kostenlosen und öffentlichen Dienstes ermöglichte es BlueDelta, die Betriebskosten niedrig zu halten und sich unter den Datenverkehr vieler anderer Nutzer zu mischen, brachte aber auch Einschränkungen mit sich, etwa das Limit von 100 Anfragen pro Endpunkt im kostenlosen Tarif.

Von HEADLACE zu HOOKEDGE: kontrollierte Weiterentwicklung

HOOKEDGE wurde nicht von Grund auf neu entwickelt. Insikt Group hat eine erhebliche Überschneidung von Code und Struktur mit HEADLACE festgestellt, einer Backdoor, die von BlueDelta in früheren Kampagnen eingesetzt wurde. Zu den Ähnlichkeiten gehören identische JavaScript-Variablennamen und dasselbe Base64-Kodierungsschema für automatisierte Downloads. Auf Grundlage dieser Elemente bewertet das Unternehmen mit moderater Konfidenz, dass HOOKEDGE ein direkter evolutionärer Nachfolger von HEADLACE ist, der von denselben Betreibern gepflegt wird, und nicht ein neues Werkzeug, das von einem anderen Team erstellt wurde.

Diese Erkenntnis steht im Einklang mit der Gewohnheit von BlueDelta, bereits funktionierende Taktiken im Laufe der Zeit zu verfeinern, anstatt sie neu zu erfinden. Der Wechsel von HEADLACE zu HOOKEDGE stellt keinen Bruch dar, sondern eine Anpassung: eine leichtere, einfachere Backdoor, die schwerer vom normalen Datenverkehr zu unterscheiden ist.

Triage und Optimierungen: vom Beaconing zu Canary-Pixeln

Die Kampagne umfasste einen Triage-Mechanismus. Wenn ein Opfer Anzeichen von Interesse zeigte – etwa eine aktive Kommunikation mit den anfänglichen Webhook-Endpunkten –, verteilte BlueDelta eine zweite HOOKEDGE-Nutzlast, die für einen Check-in alle 5 Minuten statt 30 konfiguriert war. Dies ermöglichte den Operatoren eine wesentlich schnellere interaktive Kontrolle über Ziele mit höherem Wert. Die zweistufige Struktur löste auch ein Infrastrukturproblem: Angesichts des Limits von 100 Anfragen pro Endpunkt verhinderte die Trennung des gewöhnlichen Taskings vom hochprioritären Tasking auf verschiedene Endpunkte die Erschöpfung eines einzelnen Endpunkts während der Operation.

Im Verlauf der Kampagne hat BlueDelta zudem mehrfach die Betriebsparameter angepasst. Die Beaconing-Intervalle wurden von 30 auf 61 Minuten verlängert. Die Wahl ist beabsichtigt: Die meisten Sandbox-Umgebungen beobachten das Verhalten einer Probe nur eine Stunde lang, daher ermöglicht ein Intervall von 61 Minuten der Malware, lange genug inaktiv zu bleiben, um die automatische Analyse zu überstehen, ohne Datenverkehr zu erzeugen.

Die Gruppe fügte außerdem Canary-Tracking-Pixel mit Namen wie mailopened.jpg und docopened.jpg hinzu. Sie dienten dazu, genau zu überwachen, wann die Phishing-E-Mail geöffnet wurde, wann das Dokument geöffnet wurde und wann die Makros tatsächlich ausgeführt wurden. In der Praxis baute BlueDelta eine Art Analytics seines Phishing-Funnels: Es wusste, welche Köder funktionierten und welche Opfer die hochfrequente Nutzlast verdienten.

In dem bösartigen Dokument war ein verstecktes Bild vorhanden, das auf eine entfernte Webhook-URL verwies: hxxp://webhook[.]site/62114596-33f5-47fb-9012-0223529e5a13/docopened[.]jpg. Dies diente als Canary für das Öffnen des Dokuments. In späteren Varianten lautete der Dateiname doc.jpg statt docopened.jpg. Insikt Group hat außerdem Webhooks mit dem Namen mailopened.jpg identifiziert, was auf die Verwendung eines analogen Mechanismus zur Erkennung des Öffnens von Phishing-E-Mails hindeutet.

Auswirkungen und Zuordnung zum GRU

Es wurden keine CVSS-Werte bereitgestellt, und es handelt sich nicht um eine einzelne Schwachstelle mit einer CVE-Kennung. Die Bedrohung sollte für den Regierungs- und Diplomatiebereich dennoch als hoch eingestuft werden: Es handelt sich um Cyberspionage, die einer russischen staatlichen Gruppe zugeschrieben wird, mit direkten Auswirkungen auf die Vertraulichkeit von Informationen. Die Kampagne hat europäische Regierungs- und Diplomateneinrichtungen in drei Ländern getroffen, doch die potenzielle Reichweite ist größer: Die verwendete Technik ist replizierbar, und die auf webhook.site basierende Infrastruktur ist schwer im Voraus zu blockieren.

Laut Insikt Group wird BlueDelta wahrscheinlich weiterhin Kampagnen für den initialen Zugriff gegen europäische Regierungs- und Diplomatieorganisationen durchführen, um die russische Informationssammlung zu unterstützen. Die Bewertung basiert auf der anhaltenden strategischen Bedeutung der europäischen Governance, der NATO-bezogenen Fragen und der diplomatischen Beziehungen zu ehemaligen Sowjetrepubliken. Dieser Informationsbedarf dürfte kurzfristig kaum abnehmen, was eine weitere Entwicklung der Werkzeuge und Taktiken der Gruppe wahrscheinlich macht.

Praktische Gegenmaßnahmen für Organisationen

Die von Insikt Group vorgeschlagenen Gegenmaßnahmen sind konkret und erfordern keine komplexen Werkzeuge. Die erste besteht darin, die Ausführung von Makros in aus dem Internet heruntergeladenen Dokumenten zu blockieren: Viele Produktivitätssuiten ermöglichen es, sie standardmäßig zu deaktivieren oder auf Dokumente zu beschränken, die von vertrauenswürdigen Quellen signiert sind. Die zweite besteht darin, geplante Windows-Aufgaben zu überwachen, die Skript-Interpreter aus benutzerbeschreibbaren Ordnern starten: HOOKEDGE nutzt genau diesen Mechanismus, um heruntergeladene Befehle auszuführen. Die dritte besteht darin, Microsoft Edge im Headless-Modus oder automatische Verbindungen zu File-Hosting- und Webhook-Diensten zu erkennen, die die Organisation nicht legitim nutzt. In vielen Fällen sollte ein gut konfiguriertes Überwachungssystem in der Lage sein, diese Verhaltensweisen bereits in den frühen Phasen der Infektion zu identifizieren.

Für die Erkennung können Administratoren nach dem Vorhandensein von Canary-Dateien wie docopened.jpg, doc.jpg oder mailopened.jpg, nach Verbindungen zu webhook.site, nach Ausführungen von msedge.exe im Headless-Modus und nach geplanten Aufgaben suchen, die Batch-Skripte aus benutzerbeschreibbaren Pfaden starten. Angesichts der Verwendung von webhook.site und Edge als C2-Kanal ist es auch sinnvoll, den Zugriff auf nicht autorisierte Webhook-Domains zu blockieren oder einzuschränken und Aktivitäten von msedge.exe zu protokollieren, die von der normalen interaktiven Navigation abweichen. Die Einfachheit von HOOKEDGE ist ein zweischneidiges Schwert: Sie macht die Malware schwer zu unterscheiden, setzt sie aber auch einer aufmerksamen Überwachung geplanter Aufgaben und des Datenverkehrs zu ungewöhnlichen Diensten aus.