🌐 Contexte

Source : Symantec Threat Hunter Team / security.com, publié le 27 octobre 2026. L’article documente une campagne d’espionnage attribuée au groupe russe APT28 (alias Swallowtail, Fancy Bear, Forest Blizzard), unité du renseignement militaire russe (GRU), ciblant des organisations dans deux États membres de l’OTAN.

🎯 Ciblage

Trois organisations ont été identifiées comme victimes :

  • Un constructeur naval militaire
  • Un fabricant de moteurs d’avions militaires
  • Une agence de police

Le dénominateur commun est leur pertinence pour la sécurité nationale et la politique de défense.

🔗 Chaîne d’attaque (intrusion contre le constructeur naval)

Accès initial : Le 24 juillet 2026, un document Word malveillant contenant une macro VBA fortement obfusquée est ouvert depuis le cache de pièces jointes Outlook. La macro dépose quatre fichiers (VBScript, HTML/XHTML, batch script) pour initier la chaîne d’infection Hookedge.

Mécanisme Hookedge : Le backdoor utilise une instance cachée du navigateur Microsoft Edge (fenêtre d'1x1 pixel hors écran) comme client HTTP pour récupérer des tâches depuis webhook.site et exfiltrer les résultats, évitant ainsi les téléchargeurs conventionnels.

Pivot vers C2 dédié : Le 27 juillet, un second composant Hookedge abandonne webhook.site au profit d’une IP dédiée (185.82.218.119:443), avec un schéma fetch/execute/report structuré par des identifiants UUID.

Vol de credentials — technique 1 (SSH tunnel) :

  • Dépôt d’une clé privée SSH (id_rsa) dans C:\ProgramData\Adobe\
  • Ouverture d’un tunnel SSH persistant et backgroundé vers root@185.82.218.119 sur le port 80
  • Utilisation du flag -R pour un forward SOCKS dynamique donnant aux opérateurs un accès au réseau interne

Vol de credentials — technique 2 (capture NTLM) :

  • Script PowerShell créant un faux serveur HTTP sur localhost:8080
  • Forçage de l’authentification SMB locale via net use pour capturer jusqu’à 4 handshakes NTLMv2
  • Technique similaire à Responder/ntlmrelayx, implémentée en PowerShell natif

Loader inédit :

  • Déploiement de ld.exe (SHA256: f1cc91e7427a22027f65d31bbee19c54b602d08d7d93e4745b9cea59fa8132ff), un reflective loader prenant un fichier chiffré (Events.dat) et une clé de déchiffrement en arguments CLI
  • Déchiffrement en mémoire et appel d’une fonction exportée ExecuteLoader
  • La clé utilisée : DE063CF3F2E2A83E7B1A277C052A340E ; le payload final n’a pas été récupéré

Reconnaissance interne : DNS lookups et pings sur plusieurs noms d’hôtes internes (dont un apparent serveur mail), inventaire système (systeminfo, tasklist, wmic qfe), vérification des groupes (whoami /all, net groups).

🛠️ Outils et infrastructure

  • Hookedge : backdoor documenté initialement par Recorded Future (Insikt Group) en août 2026
  • ld.exe : loader réflexif inédit
  • webhook.site : service légitime détourné pour le C2 initial
  • IP C2 : 185.82.218.119 (port 443 et 80)
  • Webhook UUID : 890efd8d-6e9e-428a-bcf9-987745d71000

📋 Type d’article

Analyse technique détaillée produite par Symantec Threat Hunter Team, visant à documenter les TTPs, l’outillage et la chaîne d’attaque complète d’APT28 pour permettre la détection et l’attribution.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1566.001 — Phishing: Spearphishing Attachment (Initial Access)
  • T1204.002 — User Execution: Malicious File (Execution)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
  • T1059.005 — Command and Scripting Interpreter: Visual Basic (Execution)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1620 — Reflective Code Loading (Defense Evasion)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1102 — Web Service (Command and Control)
  • T1572 — Protocol Tunneling (Command and Control)
  • T1090 — Proxy (Command and Control)
  • T1557.001 — Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay (Credential Access)
  • T1552.004 — Unsecured Credentials: Private Keys (Credential Access)
  • T1187 — Forced Authentication (Credential Access)
  • T1082 — System Information Discovery (Discovery)
  • T1057 — Process Discovery (Discovery)
  • T1016 — System Network Configuration Discovery (Discovery)
  • T1049 — System Network Connections Discovery (Discovery)
  • T1069 — Permission Groups Discovery (Discovery)
  • T1033 — System Owner/User Discovery (Discovery)
  • T1083 — File and Directory Discovery (Discovery)
  • T1018 — Remote System Discovery (Discovery)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
  • T1547 — Boot or Logon Autostart Execution (Persistence)

IOC

  • IPv4 : 185.82.218.119 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 23.220.75.245 — AbuseIPDB · VT · ThreatFox
  • Domaines : webhook.site — VT · URLhaus · ThreatFox
  • URLs : https://webhook.site/890efd8d-6e9e-428a-bcf9-987745d71000 — URLhaus
  • URLs : https://185.82.218.119:443/53379b62-8020-41cf-af57-effa6e1e8506 — URLhaus
  • URLs : https://185.82.218.119:443/5b73dc69-d765-4440-a4d2-e9eb33283eb9 — URLhaus
  • SHA256 : f1cc91e7427a22027f65d31bbee19c54b602d08d7d93e4745b9cea59fa8132ff — VT · MalwareBazaar
  • Fichiers : ld.exe
  • Fichiers : Events.dat
  • Fichiers : id_rsa
  • Chemins : C:\ProgramData\Adobe\id_rsa
  • Chemins : C:\ProgramData\ld.exe
  • Chemins : C:\ProgramData\Events.dat

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Hookedge (backdoor)
  • ld.exe (loader)

🟡 Indice de vérification factuelle : 58/100 (moyenne)

  • ⬜ security.com — source non référencée (0pts)
  • ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 13 IOCs dont des hashes (15pts)
  • ✅ 1/7 IOC(s) confirmé(s) (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 26 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ✅ acteur(s) identifié(s) : APT28 (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • webhook.site (domain) → ThreatFox (Unknown malware)

🔗 Source originale : https://www.security.com/threat-intelligence/swallowtail-russia-nato-targets