HOOKEDGE nhắm vào cơ quan chính phủ và ngoại giao châu Âu
"Researchers reported a new APT28-linked campaign using a previously undocumented Windows batch backdoor called HOOKEDGE against government and diplomatic organizations in Romania, Spain, and Türkiye. The malware is delivered through macro-enabled Word documents, uses webhook[.]site for command-and-control and exfiltration, and was refined into a two-stage setup to improve persistence and conserve limited endpoint quotas; recommended mitigations include blocking internet-originated macros and detecting scheduled task abuse and headless Edge activity."
Rủi ro cao đối với gián điệp mạng, có thể dẫn đến mất dữ liệu nhạy cảm và kiểm soát từ xa trên máy nạn nhân.
Có thể ảnh hưởng đến tính liên tục vận hành và làm tăng chi phí ứng phó sự cố, đặc biệt với các đơn vị chính phủ/ngoại giao.
Các nhà nghiên cứu an ninh ghi nhận một chiến dịch mới nhắm vào cơ quan chính phủ và tổ chức ngoại giao tại Romania, Spain và Türkiye trong giai đoạn từ cuối 9/2025 đến đầu 4/2026. Chiến dịch này triển khai một backdoor Windows chưa từng được công bố trước đó, có tên HOOKEDGE, và được phát tán qua tài liệu Microsoft Word có macro với nội dung mồi nhử liên quan đến ngoại giao.
Theo phân tích, HOOKEDGE có liên hệ với nhóm APT28 và sử dụng webhook[.]site cho command-and-control (C2), staging và exfiltration dữ liệu. Mã độc được thiết kế theo mô hình hai giai đoạn, trong đó giai đoạn đầu tạo scheduled task chạy định kỳ, còn giai đoạn sau tăng tần suất beaconing để kiểm soát mục tiêu giá trị cao tốt hơn.
Khuyến nghị kỹ thuật gồm chặn macro từ tài liệu có nguồn gốc Internet, giám sát việc lạm dụng scheduled task, phát hiện Microsoft Edge chạy ở chế độ headless hoặc ẩn, và theo dõi kết nối ra ngoài tới các dịch vụ webhook. Tổ chức cũng nên rà soát dấu hiệu xóa file tự động và các chỉ báo liên quan đến chuỗi thực thi của HOOKEDGE.