Pesquisadores da Recorded Future identificaram uma campanha de ciberespionagem que distribuiu o HOOKEDGE, um novo backdoor leve para Windows. A atividade foi atribuída com confiança moderada ao BlueDelta, grupo também rastreado como APT28, Fancy Bear e Forest Blizzard e associado por diferentes empresas de inteligência de ameaças à Rússia.

Segundo o relatório, as campanhas ocorreram entre o fim de setembro de 2025 e o início de abril de 2026. Os alvos observados foram organizações governamentais e diplomáticas, além de fabricantes ligados ao setor de defesa, na Romênia, Espanha e Turquia. Trata-se, portanto, de uma operação direcionada para a coleta de informações estratégicas — e não de uma ameaça identificada como campanha massiva contra usuários domésticos.

O grupo usou mensagens de spear phishing com documentos do Microsoft Word habilitados para macros. Em parte da atividade, os arquivos imitavam materiais de órgãos do governo espanhol e induziam a vítima a clicar em “Habilitar Conteúdo”.

Como a infecção se estabelece

Quando a macro é habilitada, o documento inicia uma sequência de instalação no computador da vítima. Essa sequência cria arquivos na pasta do usuário e configura uma tarefa agendada para executar o HOOKEDGE periodicamente, preservando o acesso mesmo após o encerramento do documento.

O malware é escrito em batch scripts do Windows. Em vez de funcionar como um programa grande e sofisticado, ele consulta uma infraestrutura externa em busca de tarefas, executa comandos recebidos e devolve os resultados aos operadores. Componentes usados apenas na instalação são apagados em seguida, o que reduz evidências disponíveis para uma análise forense posterior.

Em alvos considerados mais valiosos, os operadores usaram uma segunda instância com comunicações mais frequentes. Essa separação sugere um modelo de triagem: o acesso inicial é mantido com menor intensidade e, quando uma vítima desperta interesse, a coleta de informações pode se tornar mais rápida e interativa.

Edge e webhook.site como disfarce

Um ponto relevante da campanha é o uso do Microsoft Edge e do serviço legítimo webhook[.]site para comunicação entre o computador comprometido e os atacantes. O HOOKEDGE pode iniciar o navegador em modo oculto ou automatizado para buscar comandos e enviar resultados.

Essa técnica não torna o tráfego legítimo, mas torna sua análise mais difícil: em vez de se conectar diretamente a um servidor obviamente malicioso, o computador pode aparentar estar acessando um serviço web comum por meio de um navegador conhecido. Por isso, bloqueios baseados somente na reputação de domínios tendem a ser insuficientes quando serviços legítimos são abusados.

Para a defesa, o comportamento importa mais que o nome do processo isoladamente. Uma execução inesperada do Edge por uma tarefa agendada, a abertura automática de arquivos HTML locais e conexões frequentes a serviços de webhook são sinais que devem ser correlacionados com o restante da telemetria do endpoint.

Relação com o backdoor HEADLACE

O relatório aponta semelhanças importantes de código e de técnicas entre o HOOKEDGE e o HEADLACE, um backdoor anteriormente associado ao mesmo grupo. Ambos usam scripts do Windows, serviços legítimos para comando e controle e instâncias ocultas de navegador.

Essa continuidade é importante porque demonstra uma evolução operacional, e não necessariamente uma ruptura tecnológica. Em campanhas de espionagem, operadores costumam ajustar ferramentas já testadas para contornar controles de segurança, reduzir ruído e manter a operação viável por mais tempo. Ferramentas simples, quando combinadas com engenharia social e boa camuflagem, podem ser eficazes.

Por que empresas brasileiras devem acompanhar o caso

Os alvos divulgados estão na Europa, mas as técnicas empregadas são relevantes para organizações de qualquer país. Documentos maliciosos, macros, tarefas agendadas e abuso de serviços legítimos são métodos reutilizáveis e podem aparecer em campanhas com outros objetivos e grupos criminosos.

Também é importante não bloquear indiscriminadamente ferramentas de colaboração e serviços web usados pelo negócio. O caminho mais eficaz é conhecer quais serviços são realmente necessários, definir regras de acesso e monitorar padrões anormais. Isso permite reduzir o abuso sem interromper operações legítimas.

Recomendações para reduzir o risco

  • Bloquear macros em documentos recebidos da internet, salvo em exceções justificadas e controladas. Documentos inesperados que pedem para habilitar conteúdo devem ser tratados como suspeitos.
  • Treinar equipes contra spear phishing, especialmente áreas que recebem convites, documentos diplomáticos, propostas, currículos ou comunicações de fornecedores.
  • Monitorar tarefas agendadas novas ou alteradas, principalmente quando chamam cmd.exe, wscript.exe, cscript.exe ou powershell.exe a partir de pastas graváveis pelo usuário.
  • Investigar automação incomum de navegadores, como Microsoft Edge iniciado em modo headless, com arquivos HTML locais ou parâmetros não utilizados pela organização.
  • Revisar conexões de saída para serviços de webhook e hospedagem de arquivos. Se um serviço não tiver uso corporativo aprovado, o bloqueio é uma medida segura; se for necessário, ele deve ter monitoramento específico.
  • Aplicar autenticação multifator resistente a phishing, como chaves FIDO2, em e-mail, VPN e outros serviços externos. Isso reduz o impacto caso uma campanha paralela tente obter credenciais.
  • Manter um plano de resposta a incidentes testado, capaz de isolar rapidamente o endpoint, preservar evidências, revogar sessões e investigar persistência antes que o acesso inicial seja ampliado.

Relátorio completo disponível em Recorded Future — BlueDelta Targets Defense and Diplomacy with HOOKEDGE.