🕵️ Contexte
Rapport publié le 21 octobre 2026 par Cryptika (source originale : CyberSecurityNews.com), basé sur une analyse de la Threat Hunter Team de Symantec. L’article documente une campagne d’espionnage cyber attribuée à APT28 (alias Fancy Bear, Forest Blizzard, Swallowtail selon Symantec) ciblant des organisations de défense dans deux pays membres de l’OTAN non nommés.
🎯 Cibles identifiées
- Un chantier naval militaire dans un premier pays OTAN
- Une agence de forces de l’ordre dans un second pays OTAN
- Un fabricant de moteurs d’avions militaires dans ce même second pays OTAN
🔓 Vecteur d’accès initial
L’intrusion au sein du chantier naval a débuté le 24 juillet 2026 par l’ouverture d’un document Word malveillant depuis le cache de pièces jointes Outlook. Une macro cachée a écrit plusieurs fichiers dans le profil utilisateur et déclenché la chaîne d’infection.
🦠 Malware et infrastructure
- Hookedge : backdoor capable de récupérer des instructions, exécuter des commandes et renvoyer les résultats. Il utilise une fenêtre Microsoft Edge cachée pour contacter webhook.site (service web légitime), rendant le trafic difficile à détecter.
- Après une pause de trois jours, les opérateurs ont basculé vers un serveur dédié à 185.82.218[.]119 pour le tasking et le transfert de données.
- Un loader ld.exe a été exécuté avec un fichier chiffré Events.dat, déchiffrant son contenu en mémoire via une fonction
ExecuteLoader. Le payload final reste inconnu.
🔑 Actions post-compromission
- Placement d’une clé SSH privée sur l’hôte pour établir un tunnel SSH persistant vers l’infrastructure des attaquants
- Exécution d’un script PowerShell forçant l’envoi d’une réponse d’authentification NTLM vers un listener local (vol de credentials)
- Reconnaissance interne : vérification des hostnames, comptes, groupes, processus actifs, mises à jour installées
- Le tunnel SSH a été fermé le lendemain, mais Hookedge a continué à contacter le serveur opérateur
- Le launcher Hookedge a été observé à nouveau le 24 septembre 2026
📊 Type d’article
Rapport d’incident / analyse technique basé sur les findings de Symantec Threat Hunter Team. But principal : documenter la campagne APT28, fournir les IoCs associés et décrire les TTPs employés.
🧠 TTPs et IOCs détectés
Acteurs de menace
- APT28 (state-sponsored) — orkl.eu · Malpedia · MITRE ATT&CK
TTP
- T1566.001 — Phishing: Spearphishing Attachment (Initial Access)
- T1204.002 — User Execution: Malicious File (Execution)
- T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
- T1059.005 — Command and Scripting Interpreter: Visual Basic (Execution)
- T1137.001 — Office Application Startup: Office Template Macros (Persistence)
- T1572 — Protocol Tunneling (Command and Control)
- T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
- T1102 — Web Service (Command and Control)
- T1557 — Adversary-in-the-Middle (Credential Access)
- T1187 — Forced Authentication (Credential Access)
- T1016 — System Network Configuration Discovery (Discovery)
- T1057 — Process Discovery (Discovery)
- T1069 — Permission Groups Discovery (Discovery)
- T1082 — System Information Discovery (Discovery)
- T1027 — Obfuscated Files or Information (Defense Evasion)
- T1620 — Reflective Code Loading (Defense Evasion)
IOC
- IPv4 :
185.82.218.119— AbuseIPDB · VT · ThreatFox - Domaines :
webhook.site— VT · URLhaus · ThreatFox - URLs :
https://webhook.site/890efd8d-6e9e-428a-bcf9-987745d71000— URLhaus - URLs :
https://webhook.site/53379b62-8020-41cf-af57-effa6e1e8506— URLhaus - URLs :
https://webhook.site/5b73dc69-d765-4440-a4d2-e9eb33283eb9— URLhaus - URLs :
https://webhook.site/d828b9fc-5435-4b1c-881f-d6350c11d0b6— URLhaus - URLs :
https://webhook.site/ca3c058e-3c88-449b-8299-822cd5d5e17c— URLhaus - SHA256 :
4a43aacffc2d8d76f7abac729238779b6c99b10ee09f54c2cea1654a91561303— VT · MalwareBazaar - SHA256 :
e068794cf43e381b26c82d746cca107b9f84327a2a8308d5b87ea5529963c4c8— VT · MalwareBazaar - SHA256 :
e8be50171436550e1edd8b4946d2adc0870e97465f67526ea252bff0815abcbe— VT · MalwareBazaar - SHA256 :
60ef547ebd2f4252e286db762980481b0da23dcd2c84465509735544c0a9c2b3— VT · MalwareBazaar - SHA256 :
1bb1b27e1695c726c7c1d3d4935f9318afc6f5fd9015d7cf3890f0eb7bf8d47e— VT · MalwareBazaar - SHA256 :
a3b44405112e6364444e7d96630edfabcf81e5ad37d690c3ebc73770d62aeabd— VT · MalwareBazaar - SHA256 :
6678049918dda2d5859de0a95e0573fec9496c62bbe72967ae0d3deeb5bda68f— VT · MalwareBazaar - SHA256 :
c2c9187033d22d7944ea9298461a0ac693ef2774b4ce08b0955d2aba3646fb44— VT · MalwareBazaar - SHA256 :
ea525336b787c2fd3dbc4b3e9a3a78f71004e1bd43e2e1ed953edad51118cb72— VT · MalwareBazaar - SHA256 :
5709e5e1496410d4b9ac5a3bd8be3ec4595f881b4865ebf6e490784b56105645— VT · MalwareBazaar - SHA256 :
49e276498fc4e7d65ebf9fa2acf64ec2a0c25e75ac621cd6a203d64fb75aa495— VT · MalwareBazaar - SHA256 :
39d21c1b8ab2f08c75a1cb7d18433a8b207c71ec1d266bb049b54b7eaf01d67b— VT · MalwareBazaar - SHA256 :
1bff55104206d3f55cd72ca58ffecd2fa620a428c5a3c6987d3c4cc68285d335— VT · MalwareBazaar - SHA256 :
e94402a9886d4433ccad0ced0cd4f22d055d1f0f7e4155dbec992433eb94e00c— VT · MalwareBazaar - SHA256 :
2fceca3460a35eea2c1c47d73c27c27edae95d2ae29ffb4ec2222d1a223b4bd— VT · MalwareBazaar - SHA256 :
68613e232d0893e61ad29906daee2312bd4c4e940f4d0c9e702e7c35a256d0f7— VT · MalwareBazaar - SHA256 :
a92413d4951a28822ec85e5c0d1948d4160b91388c5f3d86504611fc286a4d13— VT · MalwareBazaar - SHA256 :
063930af6a4aad06d8f8aab43226bf6dcddd2c79aa505894ee95876cf9254543— VT · MalwareBazaar - SHA256 :
d74c65e6d35d3b2a80686f059590f919316ecaf4ed539192e904d675ba5c7a40— VT · MalwareBazaar - SHA256 :
aafbc096e20f259df9166f837d0baf7333f177e6f383ca7cb9215936ecbe7f5e— VT · MalwareBazaar - SHA256 :
f1cc91e7427a22027f65d31bbee19c54b602d08d7d93e4745b9cea59fa8132ff— VT · MalwareBazaar - Fichiers :
ld.exe - Fichiers :
Events.dat
⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 22 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.
Malware / Outils
- Hookedge (backdoor)
- ld.exe (loader)
🟢 Indice de vérification factuelle : 95/100 (haute)
- ✅ cryptika.com — source reconnue (Rösti community) (20pts)
- ✅ 8126 chars — texte complet (fulltext extrait) (15pts)
- ✅ 30 IOCs dont des hashes (15pts)
- ✅ 5/8 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
- ✅ 16 TTPs MITRE identifiées (15pts)
- ✅ date extraite du HTML source (10pts)
- ✅ acteur(s) identifié(s) : APT28 (5pts)
- ⬜ pas de CVE à vérifier (0pts)
IOCs confirmés externellement :
185.82.218.119(ip) → VT (7/92 détections)4a43aacffc2d8d76…(sha256) → VT (38/76 détections)e068794cf43e381b…(sha256) → VT (38/76 détections)e8be50171436550e…(sha256) → VT (37/76 détections)webhook.site(domain) → ThreatFox (Unknown malware)
🔗 Source originale : https://www.cryptika.com/apt28-hackers-open-secret-ssh-tunnel-into-nato-countrys-naval-shipbuilder-network/