BlueDelta (APT28) colpisce governi europei con il backdoor HOOKEDGE via webhook

Una campagna di spionaggio tra settembre e aprile

Tra fine settembre 2025 e inizio aprile 2026, organizzazioni governative e diplomatiche in Romania, Spagna e Turchia sono state prese di mira da una campagna di spionaggio informatico attribuita a BlueDelta, il gruppo russo noto anche come APT28, Fancy Bear o Forest Blizzard. L'attività è stata documentata da Insikt Group, società di threat intelligence di Recorded Future, che ha ricostruito l'operazione a partire da campioni e infrastrutture osservati. Secondo l'analisi, l'attribuzione a BlueDelta è espressa con confidenza moderata, ma è coerente con il profilo del gruppo: una minaccia statale russa legata alla Direzione principale dello Stato maggiore delle Forze armate della Federazione Russa, il GRU.

L'obiettivo era la raccolta di informazioni da enti governativi e diplomatici europei. I tre Paesi colpiti hanno caratteristiche diverse ma condividono un interesse strategico per Mosca: la Romania per il fianco est della NATO, la Spagna per i rapporti con l'America Latina e il Mediterraneo, la Turchia per il suo ruolo di interlocutore tra Europa, Caucaso e Medio Oriente. Insikt Group ritiene che BlueDelta continuerà a condurre campagne di accesso iniziale di questo tipo, perché i requisiti informativi russi su governance europea, NATO e relazioni con le ex repubbliche sovietiche difficilmente diminuiranno nel breve termine.

Documenti Word con macro come esca diplomatica

Il vettore d'accesso iniziale era costituito da documenti Microsoft Word con macro, accompagnati da esche a tema diplomatico. In almeno un caso, il documento impersonava il Ministero della Presidenza, della Giustizia e dei Rapporti con le Cortes spagnolo. L'esca era stata creata poco dopo un incontro reale tra funzionari spagnoli e moldavi avvenuto nel settembre 2025, a ridosso delle elezioni parlamentari moldave dello stesso mese. Questo elemento è rilevante: il contenuto del documento risultava abbastanza credibile da rendere plausibile il tentativo di phishing, e la tempistica suggerisce che gli operatori di BlueDelta monitorassero gli sviluppi diplomatici reali per costruire esche tempestive.

Non sono state rese note le versioni esatte di Microsoft Office coinvolte. L'attacco sfruttava però una tecnica consolidata: convincere la vittima ad abilitare le macro in un documento Word ricevuto via email. Una volta eseguite, le macro scaricavano e installavano il payload successivo, il backdoor HOOKEDGE.

HOOKEDGE: un backdoor batch che sfrutta Edge e webhook.site

Il payload distribuito è un backdoor leggero scritto come script batch Windows, chiamato HOOKEDGE. La sua architettura è volutamente semplice: utilizza due webhook, uno per ricevere i comandi e l'altro per inviare i dati sottratti. Ogni 30 minuti, un'attività pianificata di Windows scarica un file di comandi tramite Microsoft Edge, lo esegue e invia i risultati a un endpoint remoto. Non viene utilizzato un LOLBin comunemente abusato né un binario personalizzato.

L'aspetto più caratteristico è l'uso di msedge.exe, il browser Microsoft Edge, sia per la ricezione dei comandi sia per l'esfiltrazione. Generando traffico di rete attraverso un'applicazione legittima, il malware mescola le proprie comunicazioni con la normale attività di navigazione aziendale. Per un analista che osserva il traffico, le richieste verso webhook.site appaiono come una consultazione di siti web da parte di un impiegato, non come un canale di comando e controllo. Questa strategia evasiva riduce la necessità di infrastrutture sofisticate, puntando tutto sulla confusione con il traffico legittimo.

L'infrastruttura usata come dorsale era webhook.site, un servizio nato per consentire agli sviluppatori di testare richieste HTTP. La scelta di un servizio gratuito e pubblico ha permesso a BlueDelta di mantenere bassi i costi operativi e di mimetizzarsi tra il traffico di molti altri utenti, ma ha introdotto anche dei vincoli, come il limite di 100 richieste per endpoint sul piano gratuito.

Da HEADLACE a HOOKEDGE: evoluzione controllata

HOOKEDGE non è stato sviluppato da zero. Insikt Group ha rilevato una significativa sovrapposizione di codice e di struttura con HEADLACE, un backdoor usato da BlueDelta in campagne precedenti. Le somiglianze includono nomi di variabili JavaScript identici e lo stesso schema di codifica base64 per i download automatizzati. Sulla base di questi elementi, la società valuta con confidenza moderata che HOOKEDGE sia un successore evolutivo diretto di HEADLACE, mantenuto dagli stessi operatori, piuttosto che uno strumento nuovo creato da un team diverso.

Questo dato è coerente con l'abitudine di BlueDelta di affinare nel tempo tattiche già funzionanti, anziché reinventarle. Il passaggio da HEADLACE a HOOKEDGE non rappresenta una rottura, ma un adattamento: un backdoor più leggero, più semplice e più difficile da distinguere dal traffico normale.

Triage e ottimizzazioni: dal beaconing ai pixel canary

La campagna includeva un meccanismo di triage. Quando una vittima mostrava segnali di interesse – ad esempio una comunicazione attiva con gli endpoint webhook iniziali – BlueDelta distribuiva un secondo payload HOOKEDGE configurato per il check-in ogni 5 minuti invece di 30. Questo consentiva agli operatori un controllo interattivo molto più rapido sui bersagli di valore più elevato. La struttura a due livelli risolveva anche un problema infrastrutturale: dato il limite di 100 richieste per endpoint, separare il tasking ordinario da quello ad alta priorità su endpoint diversi impediva l'esaurimento di un singolo endpoint durante l'operazione.

Nel corso della campagna, BlueDelta ha inoltre ritoccato più volte i parametri operativi. Gli intervalli di beaconing sono stati estesi da 30 a 61 minuti. La scelta è deliberata: la maggior parte degli ambienti sandbox osserva il comportamento di un campione solo per un'ora, quindi un intervallo di 61 minuti consente al malware di restare inattivo abbastanza a lungo da superare l'analisi automatica senza generare traffico.

Il gruppo ha aggiunto anche pixel di tracciamento canary, con nomi come mailopened.jpg e docopened.jpg. Servivano a monitorare con precisione quando veniva aperta l'email di phishing, quando veniva aperto il documento e quando venivano effettivamente eseguite le macro. In pratica, BlueDelta costruiva una sorta di analytics del proprio funnel di phishing: sapeva quali esche funzionavano e quali vittime meritavano il payload ad alta frequenza.

Nel documento malevolo era presente un'immagine nascosta che faceva riferimento a un URL webhook remoto: hxxp://webhook[.]site/62114596-33f5-47fb-9012-0223529e5a13/docopened[.]jpg. Questo fungeva da canary per l'apertura del documento. In varianti successive il nome file era doc.jpg invece di docopened.jpg. Insikt Group ha inoltre identificato webhook con il nome mailopened.jpg, indicando l'uso di un meccanismo analogo per rilevare l'apertura delle email di phishing.

Impatto e attribuzione al GRU

Non sono stati forniti punteggi CVSS, e non si tratta di una singola vulnerabilità con un identificatore CVE. La minaccia va comunque considerata elevata per i settori governativo e diplomatico: si tratta di spionaggio informatico attribuito a un gruppo statale russo, con impatto diretto sulla riservatezza delle informazioni. La campagna ha colpito enti governativi e diplomatici europei in tre Paesi, ma il raggio potenziale è più ampio: la tecnica usata è replicabile e l'infrastruttura basata su webhook.site è difficile da bloccare a priori.

Secondo Insikt Group, BlueDelta probabilmente continuerà a condurre campagne di accesso iniziale contro organizzazioni governative e diplomatiche europee a supporto della raccolta di intelligence russa. La valutazione si basa sull'importanza strategica duratura della governance europea, delle questioni legate alla NATO e delle relazioni diplomatiche con le ex repubbliche sovietiche. Questi requisiti informativi difficilmente diminuiranno nel breve termine, rendendo probabile un'evoluzione ulteriore degli strumenti e delle tattiche del gruppo.

Mitigazioni pratiche per le organizzazioni

Le contromisure suggerite da Insikt Group sono concrete e non richiedono strumenti complessi. La prima è bloccare l'esecuzione di macro nei documenti scaricati da Internet: molte suite di produttività consentono di disabilitarle per impostazione predefinita o di limitarle ai documenti firmati da fonti attendibili. La seconda è monitorare le attività pianificate di Windows che lanciano interpreti di script da cartelle scrivibili dall'utente: HOOKEDGE usa proprio questo meccanismo per eseguire i comandi scaricati. La terza è rilevare Microsoft Edge in modalità headless o connessioni automatiche verso servizi di file-hosting e webhook che l'organizzazione non utilizza legittimamente. In molti casi, un sistema di monitoraggio ben configurato dovrebbe essere in grado di identificare questi comportamenti già nelle prime fasi dell'infezione.

Per la detection, gli amministratori possono cercare la presenza di file canary come docopened.jpg, doc.jpg o mailopened.jpg, connessioni verso webhook.site, esecuzioni di msedge.exe in modalità headless e attività pianificate che lanciano script batch da percorsi scrivibili dall'utente. Dato l'uso di webhook.site e di Edge come canale C2, è utile anche bloccare o limitare l'accesso a domini di webhook non autorizzati e registrare le attività di msedge.exe che si discostano dalla normale navigazione interattiva. La semplicità di HOOKEDGE è un'arma a doppio taglio: rende il malware difficile da distinguere, ma lo espone anche a un monitoraggio attento delle attività pianificate e del traffico verso servizi insoliti.