Egy orosz kémkedő csoport NATO-tagországokban működő rendvédelmi szervet, hadihajókat építő vállalatot, valamint katonai repülőgépmotorokat gyártó céget is megfigyelt. A feltárt esetek közül a hajógyár elleni támadás mutatja meg a legrészletesebben, hogyan dolgoztak a behatolók. Nemcsak bejutottak a hálózatba, hanem több héten át visszatértek, belépési adatokat próbáltak megszerezni, és tartós kapcsolatot alakítottak ki a belső rendszerrel.
A kutatók a csoportot Swallowtail néven említik, és az APT28, Fancy Bear, illetve Forest Blizzard elnevezésekkel is azonosítják. Az amerikai kormányzati megállapítások szerint a csoport az orosz katonai hírszerzéshez, a GRU-hoz köthető. Tevékenysége elsősorban katonai, védelmi és kormányzati célpontokra irányul Európában és Észak-Amerikában.
A most bemutatott célpontok kiválasztása is hírszerzési értékre utal. A rendvédelmi szervek, a védelmi ipari beszállítók és a hadihajógyártók olyan információkkal rendelkezhetnek, amelyek egy külföldi hírszerző szolgálat számára közvetlenül hasznosak. A célpontok két NATO-tagországban voltak, ami egy szélesebb európai kormányzati és védelmi információgyűjtő kampány képébe illik.
A hajógyár esetében a támadás 2026. július 24-én indult. Egy rosszindulatú Word dokumentumot közvetlenül az Outlook gyorsítótárából nyitottak meg, ami arra utal, hogy a fájl e-mailben érkezett. A dokumentumban lévő makrókód szándékosan nehezen olvasható volt. Rövid karakterdarabokból állította össze a parancsokat, megnehezítve a hagyományos, fájlmintákra építő vírusvédelmi felismerést.
A makró több fájlt helyezett el a felhasználó profiljában, és elindította a Hookedge nevű hátsóajtó telepítési folyamatát. A Hookedge olyan kártevő, amelyen keresztül a támadók feladatokat küldhetnek a fertőzött gépre, majd visszakaphatják a parancsok eredményét. Kezdetben a webhook.site nevű szolgáltatást használták a kommunikációhoz. A fertőzött gép nem egy feltűnő, külön letöltőprogrammal kapcsolódott a szolgáltatáshoz. Egy szinte láthatatlan, a képernyőn kívül megnyitott Microsoft Edge böngészőt használtak erre.
Az első feladatok a gép és a hálózat felderítésére irányultak. A kártevő ellenőrizte, hogy a számítógép eléri-e többek között a Dropboxot, a Google-t, a Microsoft bejelentkezési oldalát és a Mega tárhelyszolgáltatást. Emellett információkat gyűjtött a gépről, a futó folyamatokról, az aktuális felhasználói munkamenetekről, a proxybeállításokról és a fontosabb mappákról. Az ilyen vizsgálatok segíthetnek a támadóknak felmérni, milyen hálózati csatornák használhatók, és érdemes-e tovább folytatniuk a behatolást.
Három nappal később újra aktivizálódtak a támadók. Ezúttal már egy saját irányítású IP címet használtak a feladatok küldésére és az eredmények fogadására. A parancsok rövid időn belül, egymás után futottak le, ami arra utal, hogy a támadók valós időben irányították a műveletet, nem csupán egy előre beállított, időzített folyamatot futtattak.
Az egyik első fontos lépés a hitelesítő adatok megszerzését és a hálózaton belüli tartós hozzáférés kialakítását célozta. A támadók egy SSH privát kulcsot juttattak a gépre, majd ezzel kapcsolatot nyitottak a saját szerverük felé. A kapcsolat egy úgynevezett alagutat hozott létre, a kompromittált gépen keresztül a támadók a saját infrastruktúrájukból érhették el a vállalat belső hálózatának egyes részeit. Ez több egy egyszeri távoli belépésnél. Olyan rejtett útvonalat biztosíthat, amelyen keresztül a behatolók később is vizsgálódhatnak vagy tovább mozoghatnak a rendszerek között.
A kutatók egy másik, ettől különálló hitelesítőadat gyűjtési módszert is leírnak. A támadók egy rövid PowerShell scriptet futtattak, amely a fertőzött gépet saját magával próbálta hitelesítésre kényszeríteni, majd rögzítette az így keletkező NTLM hitelesítési adatokat. Az ilyen adatokból a támadók megpróbálhatják kitalálni a jelszót, vagy bizonyos körülmények között más rendszereken történő hitelesítésre is felhasználhatják őket.
A támadók a következő napokban további belső gépneveket ellenőriztek, lekérdezték a jogosultságokat, valamint információt gyűjtöttek a telepített javításokról és a futó folyamatokról. Később leállították az SSH alagutat, de azt nem tudták megállapítani, hogy ez egyszerű műveleti lezárás, új kapcsolat előkészítése vagy a hozzáférés megszüntetése miatt történt-e. A Hookedge kapcsolata és a későbbi aktivitás azonban tovább folytatódott.
Néhány nappal később a támadók két további fájlt töltöttek le. Az egyik az Events.dat, a másik az ld.exe volt. Az ld.exe egy korábban nem dokumentált betöltőprogram. A fájlt egy kulccsal együtt indították el, a program a titkosított tartalmat a memóriában fejtette vissza, majd végrehajtott belőle egy megadott funkciót. A kutatók magát a betöltőt képesek voltak elemezni, de az Events.dat fájl nem került elő, ezért nem ismert, pontosan milyen kódot tartalmazott, és mit tett volna a visszafejtés után.
Ez a hiány fontos korlát. A megfigyelt parancsok alapján sokat lehet tudni a felderítésről, az alagútról és a hitelesítőadat gyűjtési kísérletekről, de a támadás végső célja nem állapítható meg teljes bizonyossággal. A kártékony fájlok és a Hookedge jelenléte hetekkel később is kimutatható volt. A kutatók nem tudták eldönteni, hogy a háttérben tovább futó feladatok időnként új parancs nélkül is aktiválódtak-e, vagy a támadók később ismét érdeklődtek a célpont iránt.
A Symantec Threat Hunter Team arra figyelmeztet, hogy ha egy szervezet a Hookedge-re utaló nyomokat talál, az incidenst potenciálisan még folyamatban lévőnek kell tekintenie, nem pedig automatikusan lezártnak. A jelentés által közölt fájl- és hálózati indikátorok segíthetnek a keresésben, de önmagukban nem bizonyítják, hogy egy rendszert nem érintett a támadás.