Minacce · 5 ore fa
Symantec ha documentato intrusioni di APT28 contro tre obiettivi in due Paesi NATO, tra cui un costruttore navale. Su un host compromesso, gli operatori sono tornati più volte nell’arco di una settimana, rubando credenziali e aprendo un tunnel SSH persistente verso la rete interna.
Il gruppo ha usato HOOKEDGE e un nuovo loader che decifra il payload solo in memoria, con una chiave fornita durante l’esecuzione: il programma non viene prima salvato su disco in forma leggibile. APT28 ha inoltre usato documenti Word con macro per distribuire la backdoor, un approccio da considerare nelle difese anti-phishing basate su quel formato.
Il tunnel e le credenziali sottratte possono lasciare una via d’accesso anche dopo la rimozione del loader: l’incidente può estendersi oltre l’host inizialmente compromesso.
1 fonte che coprono questa storia
Russian APT28 Breaches NATO Naval Shipbuilder in NATO Country, Deploys New Reflective Loader
APT28 targeted two NATO states with HOOKEDGE and a new reflective loader, stealing credentials and establishing an SSH tunnel at a naval shipbuilder.
Part of the PlainSec briefing for 2026-10-20