El grupo de ciberespionaje ruso APT28 utilizó la puerta trasera Hookedge para acceder a la red de un constructor naval en un estado miembro de la OTAN, robar credenciales de acceso y establecer un túnel SSH oculto.

La intrusión duró al menos dos meses, según un informe del equipo Threat Hunter de Symantec. El informe no menciona el nombre del constructor naval ni el país.

También describe actividad contra organizaciones en un segundo estado miembro de la OTAN, incluyendo una agencia de aplicación de la ley y un fabricante de motores de aviones militares.

APT28, también conocido como Fancy Bear y Forest Blizzard, es mencionado como Swallowtail en el informe de Symantec. Investigadores de Symantec identificaron la actividad de Hookedge en las tres organizaciones.

Sus hallazgos añaden detalles a informes públicos anteriores sobre el malware, incluyendo la descripción del uso de documentos de Word y servicios web por parte de esta puerta trasera.

APT28

En el constructor naval, la actividad comenzó el 24 de julio de 2026, cuando se abrió un documento de Word malicioso desde la caché de archivos adjuntos de Outlook. Su macro oculta escribió varios archivos en el perfil del usuario e inició la cadena de infección.

Uno de esos archivos ejecutó Hookedge, una puerta trasera que puede obtener instrucciones, ejecutar comandos y enviar sus resultados de vuelta. El malware utilizó una ventana oculta de Microsoft Edge para contactar con webhook.site, un servicio web público.

El uso de un navegador familiar y un servicio legítimo podría hacer que el tráfico sea más difícil de detectar entre la actividad web normal. Un análisis previo de la campaña de Hookedge también describe cómo la puerta trasera utilizaba Edge y servicios de webhook para recibir instrucciones y devolver resultados.

Los primeros comandos recopilaron detalles básicos sobre el ordenador infectado y comprobaron si podía acceder a servicios online comunes.

Tras un intervalo de unos tres días, los operadores regresaron con una etapa más activa que utilizaba un servidor dedicado en 185.82.218[.]119 para la asignación de tareas y la transferencia de datos.

Symantec observó una ráfaga de siete comandos en unos 30 segundos, lo que sugiere que un operador estaba trabajando directamente en el sistema comprometido.

Una clave robada permitió una ruta de regreso

Los operadores colocaron una clave privada SSH en el host y la utilizaron para abrir una conexión con su servidor. El túnel les proporcionó una ruta desde su propia infraestructura de vuelta a la red interna del constructor naval.

A diferencia de una sesión remota corta, un túnel puede proporcionar un camino continuo a través de una máquina comprometida. Poco después de abrirlo, los operadores comprobaron los nombres de host internos, lo que indica que estaban mapeando la red.

El túnel SSH fue una de las dos formas en que los atacantes intentaron obtener o utilizar credenciales de cuenta. También ejecutaron un script de PowerShell que hizo que el ordenador enviara una respuesta de autenticación NTLM a un escuchador local. NTLM es un método de Windows para probar la identidad de un usuario.

Las respuestas capturadas pueden crear un riesgo adicional si los atacantes pueden descifrarlas o utilizarlas para intentar acceder a otros sistemas.

Los operadores comprobaron los detalles de cuentas y grupos, buscaron más sistemas internos y recopilaron información sobre los procesos en ejecución y las actualizaciones instaladas.

Detuvieron el proceso SSH al día siguiente, pero Hookedge continuó contactando con el servidor de los operadores en ráfagas posteriores. El informe no confirma por qué se cerró el túnel ni qué datos, si es que hubo alguno, fueron sustraídos.

Este uso de túneles encaja en un patrón más amplio en el que APT28 se ha apoyado en rutas y servicios menos evidentes para soportar sus operaciones.

También se ha informado sobre el abuso de servicios en la nube por parte de APT28, una campaña separada que resalta por qué tú, como defensor, deberías comprobar cómo se comportan los programas, y no solo si un sitio web es conocido o confiable.

El 31 de julio, los operadores ejecutaron un programa llamado ld.exe con un archivo cifrado llamado Events.dat. El cargador descifró su entrada en memoria y llamó a una función llamada ExecuteLoader.

Symantec descubrió que el archivo suministrado al cargador no fue recuperado, por lo que la carga útil final y su propósito siguen siendo desconocidos. El cargador seguía presente en el host semanas después, y el lanzador de Hookedge fue visto nuevamente el 24 de septiembre.

El informe sitúa el incidente del constructor naval dentro de una campaña más amplia contra objetivos de defensa y gubernamentales en dos países de la OTAN.

La combinación de una puerta trasera, el robo de credenciales, las comprobaciones de la red interna y un túnel sugiere un esfuerzo sostenido para obtener acceso y recopilar inteligencia.

La evidencia disponible no muestra si los atacantes llegaron a otros sistemas u obtuvieron información sensible sobre la construcción naval.

Tú y tu organización deberíais investigar adjuntos de Word sospechosos, scripts inesperados en carpetas de usuario, actividad oculta de Edge y conexiones SSH no aprobadas.

Deberíais revisar los registros de endpoints, correo electrónico, DNS y proxy para buscar los indicadores detallados abajo, comprobar signos de exposición de credenciales NTLM y rotar las credenciales afectadas si sospechas que han sido comprometidas.

El informe aconseja tratar la actividad de Hookedge como una posible intrusión en curso, en lugar de asumir que eliminar un solo archivo pone fin a la amenaza.

Indicadores de compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.