Die unter dem Namen APT28 bekannte russische Hackergruppe, die auch als BlueDelta oder Fancy Bear identifiziert wird, setzt für Spionageoperationen in Europa eine neue Schadsoftware ein. Sicherheitsanalysten identifizierten die als HOOKEDGE bezeichnete Backdoor im Rahmen gezielter Angriffe auf hochrangige Ziele. Die Aktivitäten richten sich dabei primär gegen Organisationen aus den Bereichen Regierung, Diplomatie und der Verteidigungsindustrie.
Fokus auf Rumänien, Spanien und die Türkei
Die Kampagne von APT28 konzentriert sich geografisch auf Institutionen in Rumänien, Spanien und der Türkei. Den vorliegenden Erkenntnissen zufolge begannen die Angriffe mit der HOOKEDGE-Backdoor bereits Ende September 2025 und dauerten zunächst bis Anfang April 2026 an. In der Folgezeit entwickelten die Akteure die Schadsoftware offenbar weiter, da im Juni und Juli 2026 neue Varianten der Backdoor entdeckt wurden.
Wer sich mit der Abwehr komplexer Spionageoperationen befasst, muss auch die rechtlichen Rahmenbedingungen für den Einsatz von Schutztechnologien kennen. Dieser kostenlose E-Book-Download bietet einen kompakten Überblick über alle Anforderungen, Pflichten und Fristen der EU-KI-Verordnung für Unternehmen. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt
Die Angriffskette nutzt präparierte Microsoft-Word-Dokumente, die mit Makros ausgestattet sind, um die Infektion der Zielsysteme einzuleiten. Für die Command-and-Control-Kommunikation (C2) greifen die Angreifer auf den Browser Microsoft Edge zurück. Dabei erfolgt der Datenaustausch über den legitimen Dienst webhook.site, was die Entdeckung durch herkömmliche Sicherheitslösungen erschwert.
Technischer Wandel und „Zero-Feature“-Strategie
Die Experten beschreiben die aktuelle Kampagne als „zero-feature“-Operation, die darauf ausgelegt ist, eine möglichst geringe Angriffsfläche für die Erkennung zu bieten. Hierbei kommen Headless-Browser sowie Modifikationen an der Chromium-Architektur zum Einsatz. Neben webhook.site werden auch Webhooks der Kommunikationsplattformen Slack und Discord für die Steuerung der infizierten Systeme zweckentfremdet.
Dieser Ansatz markiert eine Fortsetzung der taktischen Evolution von APT28. Während die Gruppe in den Jahren 2015 bis 2018 vorwiegend auf traditionelle Hacking-Methoden setzte, verlagerte sie ihren Schwerpunkt im Zeitraum von 2019 bis 2021 auf die Nutzung von Cloud-Speicherdiensten.
Die stetige Weiterentwicklung von Angriffsmethoden stellt Unternehmen vor immer neue Herausforderungen bei der Risikodokumentation und Qualitätssicherung ihrer IT-Systeme. Dieser kostenlose Praxis-Leitfaden klärt auf, welche KI-Systeme als Hochrisiko gelten und was Verantwortliche jetzt konkret tun müssen. Umsetzungsleitfaden zum EU AI Act jetzt kostenlos herunterladen
Seit dem Jahr 2022 ist eine verstärkte Nutzung legitimer Internetdienste für die Infrastruktur der Gruppe zu beobachten, um bösartigen Datenverkehr im normalen Web-Traffic zu tarnen.
Veröffentlichung von Indikatoren und Erkennungsraten
Um Unternehmen und Behörden bei der Abwehr der Angriffe zu unterstützen, wurden entsprechende Indicators of Compromise (IOCs) veröffentlicht. Diese technischen Merkmale ermöglichen es IT-Sicherheitsabteilungen, ihre Systeme auf Spuren einer Infektion mit HOOKEDGE zu untersuchen.
Untersuchungen zur Effektivität von Sicherheitsmaßnahmen zeigen unterschiedliche Erfolgsaussichten bei der Identifizierung dieser speziellen Bedrohung.
Während die Erkennungsrate durch klassische Verhaltensanalysen bei 89 % liegt, erzielen Ansätze, die auf maschinellem Lernen basieren, eine Quote von 97 %. Die Experten betonen damit die Notwendigkeit fortschrittlicher Analysetools, um den komplexen Tarnmechanismen der russischen Akteure zu begegnen.
