BlueDelta (APT28) frappe des gouvernements européens avec la porte dérobée HOOKEDGE via webhook

Une campagne d’espionnage entre septembre et avril

Entre fin septembre 2025 et début avril 2026, des organisations gouvernementales et diplomatiques en Roumanie, en Espagne et en Turquie ont été ciblées par une campagne d’espionnage informatique attribuée à BlueDelta, le groupe russe également connu sous les noms d’APT28, Fancy Bear ou Forest Blizzard. L’activité a été documentée par Insikt Group, société de renseignement sur les menaces de Recorded Future, qui a reconstitué l’opération à partir d’échantillons et d’infrastructures observés. Selon l’analyse, l’attribution à BlueDelta est exprimée avec une confiance modérée, mais elle est cohérente avec le profil du groupe : une menace étatique russe liée à la Direction principale de l’état-major général des forces armées de la Fédération de Russie, le GRU.

L’objectif était de collecter des informations auprès d’entités gouvernementales et diplomatiques européennes. Les trois pays touchés présentent des caractéristiques différentes, mais partagent un intérêt stratégique pour Moscou : la Roumanie en raison du flanc oriental de l’OTAN, l’Espagne en raison de ses relations avec l’Amérique latine et la Méditerranée, et la Turquie en raison de son rôle d’intermédiaire entre l’Europe, le Caucase et le Moyen-Orient. Insikt Group estime que BlueDelta continuera de mener des campagnes d’accès initial de ce type, car les besoins russes en renseignements sur la gouvernance européenne, l’OTAN et les relations avec les anciennes républiques soviétiques ne devraient guère diminuer à court terme.

Documents Word avec macros comme appât diplomatique

Le vecteur d’accès initial reposait sur des documents Microsoft Word dotés de macros, accompagnés d’appâts à thème diplomatique. Dans au moins un cas, le document usurpait l’identité du ministère espagnol de la Présidence, de la Justice et des Relations avec les Cortes. L’appât avait été créé peu après une rencontre réelle entre des responsables espagnols et moldaves en septembre 2025, juste avant les élections législatives moldaves du même mois. Cet élément est important : le contenu du document était suffisamment crédible pour rendre plausible la tentative d’hameçonnage, et le calendrier suggère que les opérateurs de BlueDelta surveillaient les évolutions diplomatiques réelles afin de créer des appâts opportuns.

Les versions exactes de Microsoft Office concernées n’ont pas été communiquées. L’attaque exploitait toutefois une technique éprouvée : convaincre la victime d’activer les macros dans un document Word reçu par courriel. Une fois exécutées, les macros téléchargeaient et installaient la charge utile suivante, la porte dérobée HOOKEDGE.

HOOKEDGE : une porte dérobée batch exploitant Edge et webhook.site

La charge utile distribuée est une porte dérobée légère écrite sous forme de script batch Windows, appelée HOOKEDGE. Son architecture est volontairement simple : elle utilise deux webhooks, l’un pour recevoir les commandes et l’autre pour envoyer les données dérobées. Toutes les 30 minutes, une tâche planifiée Windows télécharge un fichier de commandes via Microsoft Edge, l’exécute et envoie les résultats à un point de terminaison distant. Elle n’utilise ni un LOLBin couramment détourné ni un binaire personnalisé.

L’aspect le plus caractéristique est l’utilisation de msedge.exe, le navigateur Microsoft Edge, à la fois pour la réception des commandes et pour l’exfiltration. En générant du trafic réseau via une application légitime, le logiciel malveillant mélange ses communications avec l’activité normale de navigation professionnelle. Pour un analyste observant le trafic, les requêtes vers webhook.site apparaissent comme une consultation de sites web par un employé, et non comme un canal de commande et contrôle. Cette stratégie d’évasion réduit le besoin d’infrastructures sophistiquées, misant sur la confusion avec le trafic légitime.

L’infrastructure dorsale utilisée était webhook.site, un service conçu pour permettre aux développeurs de tester des requêtes HTTP. Le choix d’un service gratuit et public a permis à BlueDelta de maintenir des coûts opérationnels faibles et de se fondre dans le trafic de nombreux autres utilisateurs, mais il a également introduit des contraintes, comme la limite de 100 requêtes par point de terminaison sur l’offre gratuite.

De HEADLACE à HOOKEDGE : une évolution maîtrisée

HOOKEDGE n’a pas été développé à partir de zéro. Insikt Group a constaté un chevauchement significatif du code et de la structure avec HEADLACE, une porte dérobée utilisée par BlueDelta lors de campagnes précédentes. Les similitudes incluent des noms de variables JavaScript identiques et le même schéma de codage en base64 pour les téléchargements automatisés. Sur la base de ces éléments, l’entreprise évalue avec une confiance modérée qu’HOOKEDGE est un successeur évolutif direct de HEADLACE, maintenu par les mêmes opérateurs, plutôt qu’un nouvel outil créé par une autre équipe.

Cette observation est cohérente avec l’habitude de BlueDelta d’affiner au fil du temps des tactiques qui fonctionnent déjà, plutôt que de les réinventer. Le passage de HEADLACE à HOOKEDGE ne représente pas une rupture, mais une adaptation : une porte dérobée plus légère, plus simple et plus difficile à distinguer du trafic normal.

Triage et optimisations : du beaconing aux pixels canary

La campagne comprenait un mécanisme de triage. Lorsqu’une victime montrait des signes d’intérêt – par exemple une communication active avec les points de terminaison webhook initiaux – BlueDelta déployait une seconde charge utile HOOKEDGE configurée pour un check-in toutes les 5 minutes au lieu de 30. Cela permettait aux opérateurs d’exercer un contrôle interactif beaucoup plus rapide sur les cibles de plus grande valeur. La structure à deux niveaux résolvait également un problème d’infrastructure : compte tenu de la limite de 100 requêtes par point de terminaison, séparer les tâches ordinaires de celles à haute priorité sur des points de terminaison différents empêchait l’épuisement d’un point de terminaison unique pendant l’opération.

Au cours de la campagne, BlueDelta a également ajusté plusieurs fois les paramètres opérationnels. Les intervalles de beaconing ont été étendus de 30 à 61 minutes. Ce choix est délibéré : la plupart des environnements sandbox n’observent le comportement d’un échantillon que pendant une heure, donc un intervalle de 61 minutes permet au logiciel malveillant de rester inactif assez longtemps pour passer l’analyse automatique sans générer de trafic.

Le groupe a également ajouté des pixels de suivi canary, avec des noms comme mailopened.jpg et docopened.jpg. Ils servaient à surveiller précisément quand l’e-mail d’hameçonnage était ouvert, quand le document était ouvert et quand les macros étaient réellement exécutées. En pratique, BlueDelta construisait une sorte d’analyse de son propre entonnoir d’hameçonnage : il savait quels appâts fonctionnaient et quelles victimes méritaient la charge utile à haute fréquence.

Le document malveillant contenait une image cachée faisant référence à une URL webhook distante : hxxp://webhook[.]site/62114596-33f5-47fb-9012-0223529e5a13/docopened[.]jpg. Elle servait de canary pour l’ouverture du document. Dans des variantes ultérieures, le nom de fichier était doc.jpg au lieu de docopened.jpg. Insikt Group a également identifié des webhooks portant le nom mailopened.jpg, indiquant l’utilisation d’un mécanisme analogue pour détecter l’ouverture des e-mails d’hameçonnage.

Impact et attribution au GRU

Aucun score CVSS n’a été fourni, et il ne s’agit pas d’une seule vulnérabilité dotée d’un identifiant CVE. La menace doit néanmoins être considérée comme élevée pour les secteurs gouvernemental et diplomatique : il s’agit d’espionnage informatique attribué à un groupe étatique russe, avec un impact direct sur la confidentialité des informations. La campagne a frappé des entités gouvernementales et diplomatiques européennes dans trois pays, mais la portée potentielle est plus large : la technique utilisée est reproductible et l’infrastructure reposant sur webhook.site est difficile à bloquer a priori.

Selon Insikt Group, BlueDelta continuera probablement de mener des campagnes d’accès initial contre des organisations gouvernementales et diplomatiques européennes à l’appui de la collecte de renseignements russe. Cette évaluation repose sur l’importance stratégique durable de la gouvernance européenne, des questions liées à l’OTAN et des relations diplomatiques avec les anciennes républiques soviétiques. Ces besoins en renseignements ne devraient guère diminuer à court terme, ce qui rend probable une nouvelle évolution des outils et des tactiques du groupe.

Mesures d’atténuation pratiques pour les organisations

Les contremesures suggérées par Insikt Group sont concrètes et ne nécessitent pas d’outils complexes. La première consiste à bloquer l’exécution de macros dans les documents téléchargés depuis Internet : de nombreuses suites de productivité permettent de les désactiver par défaut ou de les limiter aux documents signés par des sources fiables. La deuxième consiste à surveiller les tâches planifiées Windows qui lancent des interpréteurs de scripts depuis des dossiers accessibles en écriture à l’utilisateur : HOOKEDGE utilise précisément ce mécanisme pour exécuter les commandes téléchargées. La troisième consiste à détecter Microsoft Edge en mode headless ou des connexions automatiques vers des services d’hébergement de fichiers et des webhooks que l’organisation n’utilise pas légitimement. Dans de nombreux cas, un système de surveillance bien configuré devrait pouvoir identifier ces comportements dès les premières phases de l’infection.

Pour la détection, les administrateurs peuvent rechercher la présence de fichiers canary tels que docopened.jpg, doc.jpg ou mailopened.jpg, des connexions vers webhook.site, des exécutions de msedge.exe en mode headless et des tâches planifiées qui lancent des scripts batch depuis des chemins accessibles en écriture à l’utilisateur. Compte tenu de l’utilisation de webhook.site et d’Edge comme canal C2, il est également utile de bloquer ou de limiter l’accès à des domaines de webhook non autorisés et d’enregistrer les activités de msedge.exe qui s’écartent de la navigation interactive normale. La simplicité de HOOKEDGE est une arme à double tranchant : elle rend le logiciel malveillant difficile à distinguer, mais l’expose aussi à une surveillance attentive des tâches planifiées et du trafic vers des services inhabituels.