APT28搭建隐秘SSH隧道，入侵北约成员国海军造船厂网络
俄罗斯网络间谍组织APT28利用Hookedge后门侵入某北约成员国的海军造船厂网络，窃取登录凭证并搭建了隐藏的SSH隧道。 赛门铁克威胁狩猎团队发布报告称，此次入侵活动至少持续了两个月，报告未披露涉事造船厂及所属国家的具体名称。 报告还记录了该组织针对第二个北约成员国多个机构的攻击活动，目标包括一家执法机构和一家军用航空发动机制造商。 APT28别名Fancy Bear、Forest Blizzard，在赛门铁克本次报告中以Swallowtail为追踪代号。赛门铁克研究人员在上述三家受攻击机构中，均发现了Hookedge的活动痕迹。 这些发现补充了此前公开披露的Hookedge攻击细节。过往报告曾记录，该后门会利用Word文档和公共网络服务实施入侵。
恶意文档触发感染链，后门借合法服务隐蔽通信
针对该造船厂的攻击始于2026年7月24日，起因是用户从Outlook附件缓存中打开了一份恶意Word文档。文档内的隐藏宏向用户配置文件目录写入多个文件，启动了完整感染链。 其中一个文件会加载Hookedge后门，该后门支持获取远程指令、执行本地命令并回传执行结果。恶意软件会调用隐藏的Microsoft Edge窗口，与公共网络服务webhook.site建立通信。 这种借助常用浏览器、滥用合法公共服务的手法，能让恶意流量隐藏在正常网络活动中，很难被常规检测手段发现。此前针对Hookedge攻击活动的分析也显示，该后门惯于借助Edge浏览器和webhook服务接收指令、回传数据。 攻击者最初执行的命令仅用于收集受感染设备的基础信息，检查设备能否访问常用公共在线服务。间隔约三天后，攻击者进入更活跃的攻击阶段，切换到IP地址为185.82.218[.]119的专属服务器下发任务、传输数据。 赛门铁克监测到，攻击者曾在约30秒内连续执行7条命令，说明当时有攻击人员直接在失陷系统上手动操作。
搭建隐秘SSH隧道，持久潜伏探测内网
攻击者在失陷主机上植入SSH私钥，用它连接到自身控制的服务器建立通信隧道。这条隧道为攻击者打通了从自有基础设施直达造船厂内部网络的访问路径。和短期远程会话不同，SSH隧道可以通过失陷主机提供持续的稳定访问通道。隧道搭建完成后不久，攻击者就开始查询内部主机名，说明其正在开展网络拓扑测绘。 搭建SSH隧道只是攻击者获取、利用账户凭证的两种手段之一。攻击者还运行了一款PowerShell脚本，诱导受感染设备向本地监听器发送NTLM认证响应。NTLM是Windows系统内置的用户身份验证机制，如果攻击者破解了捕获的认证响应，或是利用这些响应尝试访问其他系统，会引发进一步的安全风险。
攻击者先后查询了账户与用户组信息，枚举更多内部系统，收集运行进程、已安装系统更新的相关信息。次日攻击者终止了SSH进程，但Hookedge后门仍在后续分批与攻击者控制的服务器保持通信。报告未确认攻击者关闭隧道的具体原因，也无法证实攻击者是否窃取了数据、以及窃取了哪些数据。 利用隧道实施潜伏访问，是APT28一贯的攻击手法特征——该组织长期依赖低可见性的访问路径和网络服务支撑攻击行动。Cyber Security News此前也曾报道过APT28滥用云服务的独立攻击活动，这类案例都说明，防御方不能仅判断访问的网站是否已知可信，更要核查程序的实际行为。
7月31日，攻击者运行了名为ld.exe的程序，加载名为Events.dat的加密文件。该加载器会在内存中解密输入内容，并调用名为ExecuteLoader的函数。赛门铁克未能恢复提交给加载器的文件，因此目前仍未知最终payload的具体内容和攻击目的。 数周后研究人员发现该加载器仍留存于受感染主机上，9月24日还再次监测到Hookedge启动器的活动痕迹。 报告指出，本次针对造船厂的入侵，只是APT28针对两个北约成员国国防、政府相关目标开展的大规模攻击活动的一部分。攻击者组合使用后门植入、凭证窃取、内网探测、隧道搭建等手法，明显是试图建立长期访问权限、收集情报。现有证据无法证实攻击者是否横向移动到了其他内部系统，或是获取了敏感的造船相关信息。
全面排查异常痕迹，按持续入侵标准处置
企业应当排查四类异常风险点：可疑Word附件、用户目录下的意外脚本、隐藏的Edge浏览器活动，以及未授权的SSH连接。 安全团队需要结合端点、邮件、DNS、代理日志，对照下文列出的失陷指标（IoC）开展排查，检查是否存在NTLM凭证泄露迹象；如果怀疑系统已被入侵，要立即轮换受影响的账户凭证。 报告特别提醒，一旦发现Hookedge活动痕迹，应当默认存在持续入侵风险开展全面排查，不要误以为删除单个恶意文件就可以彻底清除威胁。
| 
11010802020318 )
发表于