APT28 tấn công nhà sản xuất tàu NATO, triển khai loader mới
"APT28, a Russia-linked threat actor, breached a NATO naval shipbuilder and other organizations using HOOKEDGE malware and a new reflective loader (ld.exe). The attackers employed multiple credential theft techniques and established persistent SSH tunnels for network access. The campaign, observed through September 2026, also targeted Ukrainian entities with mobile exploits like DarkSword and malware such as CAMELSPY and BTMOB RAT."
APT28 sử dụng reflective loader và credential theft techniques tiên tiến, cho thấy khả năng xâm nhập sâu vào mạng lưới mục tiêu. Việc đánh cắp thông tin đăng nhập và thiết lập SSH tunnels tạo điều kiện cho các cuộc tấn công tiếp theo.
Các cuộc tấn công nhắm vào nhà sản xuất tàu hải quân và các nhà cung cấp quốc phòng có thể gây ra rò rỉ thông tin nhạy cảm và gián đoạn hoạt động. Các doanh nghiệp Việt Nam có quan hệ đối tác với các tổ chức NATO cần đánh giá lại rủi ro chuỗi cung ứng.
APT28, nhóm tin tặc liên kết Nga, tấn công một nhà sản xuất tàu hải quân của NATO và các tổ chức khác, sử dụng malware HOOKEDGE cùng reflective loader (ld.exe) mới. Symantec Threat Hunter Team theo dõi hoạt động này dưới tên mã Swallowtail.
APT28 nhắm mục tiêu vào một cơ quan thực thi pháp luật, nhà sản xuất tàu hải quân và nhà sản xuất động cơ máy bay quân sự – những tổ chức nắm giữ thông tin hữu ích cho tình báo nước ngoài. Trong một cuộc tấn công vào nhà sản xuất tàu, kẻ tấn công truy cập lại máy chủ bị xâm nhập nhiều lần trong một tuần, thực hiện các hoạt động hands-on-keyboard. Chúng đánh cắp thông tin đăng nhập bằng hai kỹ thuật khác nhau, thiết lập tunnel SSH liên tục vào mạng nội bộ và triển khai reflective loader chưa từng được biết đến.
APT28 sử dụng HOOKEDGE từ cuối tháng 8 năm 2026, liên quan đến chiến dịch gián điệp mạng nhắm vào các tổ chức chính phủ và ngoại giao ở Romania, Tây Ban Nha và Thổ Nhĩ Kỳ từ tháng 9 năm 2025. HOOKEDGE có nhiều điểm tương đồng với HEADLACE, một implant Windows mô-đun mà APT28 sử dụng để tấn công các nhà ngoại giao từ tháng 4 năm 2023. HOOKEDGE được phân phối qua tài liệu Microsoft Word có macro và giao tiếp thông qua webhook[.]site hoặc IP address 185.82.218[.]119:443.
Ngoài ra, CERT-UA cho biết tin tặc Nga ngày càng nhắm mục tiêu vào điện thoại thông minh của quân nhân và quan chức Ukraine. Chúng sử dụng DarkSword iOS exploit kit qua các cuộc tấn công watering-hole trên các trang tin tức và chính phủ Ukraine. Các nhóm UAC-0244 và UAC-0263 phân phối CAMELSPY và BTMOB RAT thông qua các ứng dụng giả mạo. Hoạt động gần đây nhất được ghi nhận vào ngày 24 tháng 9 năm 2026, với một launcher Visual Basic Script liên quan đến HOOKEDGE được phát hiện trong mạng lưới của nhà sản xuất tàu.
Câu hỏi thường gặp
APT28 là gì?
APT28 là một nhóm tin tặc liên kết với Nga, còn được biết đến với các tên gọi khác như BlueDelta, Fancy Bear và Forest Blizzard. Nhóm này thường thực hiện các cuộc tấn công gián điệp mạng nhắm vào các tổ chức chính phủ và quân sự.
HOOKEDGE là gì?
HOOKEDGE là một backdoor được APT28 sử dụng trong các cuộc tấn công gần đây. Nó có khả năng chấp nhận lệnh từ kẻ tấn công và gửi kết quả trở lại, thường thông qua webhook[.]site hoặc một địa chỉ IP cụ thể.
Reflective loader (ld.exe) hoạt động như thế nào?
Reflective loader là một chương trình được thiết kế để giải mã và chạy một payload được mã hóa trong bộ nhớ. Nó sử dụng một khóa mã hóa được cung cấp tại thời điểm chạy, giúp che giấu hoạt động độc hại.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc APT28 sử dụng reflective loader mới cho thấy sự phát triển liên tục trong kỹ thuật tấn công của nhóm này. Các doanh nghiệp Việt Nam, đặc biệt là các công ty quốc phòng hoặc có quan hệ đối tác với các tổ chức NATO, nên tăng cường giám sát mạng và cập nhật các biện pháp bảo mật. Điều đáng chú ý là sự gia tăng tấn công vào thiết bị di động ở Ukraine, cho thấy các tổ chức Việt Nam cũng cần chú trọng bảo vệ thiết bị cá nhân của nhân viên.