ロシア関与の攻撃グループ「APT28」、欧州の外交機関を狙う新バックドア「HOOKEDGE」を展開
要点
- 2025年9月下旬から2026年4月上旬にかけ、ルーマニア、スペイン、トルコの政府・外交機関を標的としたサイバー攻撃が確認された。
- ロシア政府との関連が指摘される攻撃グループ「APT28」が、新種の軽量Windowsバックドア「HOOKEDGE」を展開していたと報告された。
- 攻撃には外交をテーマにしたマクロ付きWord文書が使われ、外部のWebサービスを悪用して正規通信に偽装しながら侵入・データ窃取を行っていた。
- 攻撃者は無料APIの制限を回避するため、初期侵入と重要標的の監視でインフラを切り替える2段階の仕組みを採用していた。
ルーマニア、スペイン、トルコの政府機関や外交組織を標的としたサイバー攻撃において、ロシア政府の関与が疑われる脅威グループが新たなマルウェアを展開していたことが明らかになった。Mastercard傘下のサイバーセキュリティ企業Recorded FutureのInsikt Groupが2026年8月28日に公開した分析レポートによると、攻撃には「HOOKEDGE」と呼ばれるこれまで未報告だったWindows向けバックドア（外部から不正に侵入・操作するための裏口プログラム）が使用されていたという。同社はこの攻撃活動を「BlueDelta」の呼称で追跡しており、中程度の確信度で「APT28」（別名Fancy Bear、Forest Blizzard）によるものと分析している。
外交文書を装ったマクロによる感染と痕跡消去
一連の攻撃は2025年9月下旬から2026年4月上旬にかけて観測された。侵入の主な手口として、外交関連の話題を装ったMicrosoft Word文書（ルアー文書）が用いられていた。初期の攻撃ではスペイン政府の資料を偽装したものが確認され、その約1か月後にはソーシャルエンジニアリング（人の心理的な隙を突く手法）を用いたアプローチへと切り替えられたという。
標的となったユーザーが文書を開き、「コンテンツの有効化」をクリックしてマクロの実行を許可すると、ユーザーのプロファイルフォルダ（%userprofile%）内に6つのファイルが書き出され、HOOKEDGEのインストーラーが起動する仕組みとなっていた。
インストーラーは、30分ごとにHOOKEDGEの起動スクリプトを実行するWindowsのタスクスケジュールを自動で作成する。登録を完了したメインのインストーラーは、自身や関連するランチャー、タスク定義ファイルを即座に削除する。これは感染活動の痕跡を最小限に抑え、フォレンジック調査（原因究明のための鑑識作業）やインシデント対応を難しくするための隠蔽工作だと説明されている。
Microsoft Edgeと外部サービスを悪用した遠隔操作
侵入後に展開されるHOOKEDGE本体は、軽量なWindowsのバッチスクリプト（一連のコマンドを記述したファイル）で構成されている。最大の特徴は、指令サーバー（C2）との通信やデータの持ち出しに、Web開発などで使われる正規の外部テストサービス「webhook[.]site」を悪用している点にある。専用の攻撃インフラを構築せず、正規の外部サービスを経由することで、悪意ある通信を日常的なネットワークトラフィックに紛れ込ませる狙いがあるという。
HOOKEDGEは定期的なポーリング（定期問い合わせ）ループを実行し、webhook[.]siteから任意の「.cmd」スクリプトを取得して実行する。その実行結果はHTMLファイルにまとめられ、同じくwebhookのURLへ送信される。
このコマンド取得とデータ送信のプロセスでは、端末内のMicrosoft Edgeが画面を表示しない「ヘッドレスモード」または非表示ウィンドウで起動され、HTTPリクエストが行われる。データの送信が完了すると、生成された一時ファイルはすべて削除され、HOOKEDGEのタスク識別子に一致するウィンドウタイトルのプロセスも強制終了されるなど、厳格な痕跡消去が行われていた。
APIの利用制限を回避する2段階のインフラ設計
HOOKEDGEは2025年9月から2026年4月の運用期間中にも継続的な改良が施されていた。その背景には、セキュリティ製品のサンドボックス（安全な仮想環境で不審なファイルを動かして解析する仕組み）による自動検知の回避に加え、悪用していたwebhook[.]siteの無料プランにおけるAPI利用制限への適応があったとされる。
webhook[.]siteの無料枠には、1つのエンドポイントあたり最大100リクエストという制限が存在する。もし30分間隔で端末からの定期通信を続けた場合、2日から3日程度で上限に達してしまい、以後の遠隔操作ができなくなる。
この制約を回避するため、攻撃者はインフラを2段階に分割する設計を採用した。
第1段階のマルウェアで広範な初期侵入を行い、収集した情報をもとに諜報価値が高いと判断した「重要標的」を選別する。選別された標的に対しては、専用のエンドポイントを持つ第2段階のHOOKEDGEペイロードを別途送り込み、通信間隔を最短5分まで短縮して対話的な操作やデータ収集を実行していた。これにより、初期侵入用のエンドポイントがリクエスト上限に達して枯渇するのを防ぎ、長期的な監視を可能にしていたという。
また、初期のルアー文書には開封時に被害者のIPアドレスを攻撃者へ通知する隠し画像（Webビーコン）が埋め込まれていたが、運用が進むにつれてこの機能が削除されたことも確認された。ネットワーク上の検知指標（侵害の痕跡）を減らし、活動の発覚を遅らせるための調整とみられている。
過去のバックドア「HEADLACE」からの進化
Recorded Futureは、HOOKEDGEの基本構造やwebhook[.]siteを悪用する手口が、APT28が2023年4月以降の外交官標的型攻撃で使用してきたバックドア「HEADLACE」と高度に一致していると指摘している。同社はHOOKEDGEについて、HEADLACEの「直接的な後継進化版」であると位置づけており、攻撃ツールの洗練と運用の最適化が今なお続いている実態を示している。