赛门铁克威胁猎人团队记录了一起持续至少两个月的入侵：俄罗斯网络间谍组织 APT28 用 Hookedge 后门进入某北约成员国一家海军造船企业的网络，窃取登录凭据，并架起一条隐藏的 SSH 隧道。报告没有点名这家造船企业，也没有说明它位于哪个国家。
同一份报告还描述了针对第二个北约成员国多家机构的行动，其中包括一个执法机构，以及一家军用航空发动机制造商。赛门铁克在报告中把 APT28 称为 Swallowtail，这个组织另有 Fancy Bear、Forest Blizzard 等名号。研究人员在上述三家机构都发现了 Hookedge 的活动痕迹。
在造船企业这一侧，入侵起点是 2026年7月24日：一份恶意 Word 文档从 Outlook 附件缓存中被打开。文档里的隐藏宏向用户配置文件写入多个文件，启动感染链。其中一个文件负责拉起 Hookedge——这个后门能获取指令、执行命令并回传结果。
它联系控制端的方式值得一提：借助一个隐藏的 Microsoft Edge 窗口访问公共 Web 服务 webhook.site。用常见浏览器加合法服务，流量混在正常网页活动里更难被识别。此前的 Hookedge 活动分析也记录过同样的手法——用 Edge 和 webhook 服务接收指令、返回结果。
第一批命令只做基础侦察：收集受感染电脑的基本信息，测试它能否访问常见在线服务。约三天停顿后，操作者进入更活跃的阶段，改用 185.82.218[.]119 这台专用服务器下发任务和传输数据。赛门铁克观察到约 30秒内连续爆发七条命令，判断是操作者正在被控系统上直接操作。
接下来是关键一步：操作者把一把 SSH 私钥放到主机上，用它向自己的服务器发起连接。这条隧道为他们提供了一条从自有基础设施回到造船企业内部网络的通路。与一次短暂的远程会话不同，隧道能借被控机器维持一条持续通道。隧道刚打开，操作者就开始查询内部主机名，显然在摸清网络结构。
SSH 隧道只是他们获取或使用账户凭据的两条路径之一。他们还运行了一段 PowerShell 脚本，让电脑向本地监听器发送 NTLM 认证响应——NTLM 是 Windows 用来证明用户身份的一种机制。这类被捕获的响应一旦被破解，或被用来尝试访问其他系统，风险会进一步放大。
随后操作者查看了账户与群组信息，检索更多内部系统，收集运行进程和已安装更新的情报。第二天他们停掉了 SSH 进程，但 Hookedge 在此后仍分批次联系操作者服务器。报告没有确认隧道为何关闭，也没有确认是否有数据被取走。
这种隧道用法符合 APT28 的一贯路数：依赖不那么显眼的通道和服务支撑行动。安全媒体 Cyber Security News 也曾报道该组织滥用云服务，那起独立行动同样说明一件事——防守方该盯的是程序的行为，而不只是某个网站是否知名、是否可信。
7月31日，操作者运行了一个名为 ld.exe 的程序，搭配一个加密文件 Events.dat。这个加载器在内存中解密输入，并调用名为 ExecuteLoader 的函数。赛门铁克未能恢复交给加载器的那个文件，最终载荷及其用途至今不明。数周后加载器仍留在主机上，9月24日又出现了 Hookedge 启动器。
报告把造船企业这起事件放进一个更大的行动框架：针对两个北约国家国防与政府相关目标的持续攻击。后门、凭据窃取、内网探测加隧道，这套组合指向一个目标——长期驻留并收集情报。现有证据无法证明攻击者是否触达其他系统，也无法证明是否拿到了敏感的造船信息。
报告给出的处置建议相当具体：
- 排查可疑的 Word 附件、用户目录里来路不明的脚本、隐藏的 Edge 活动，以及未经批准的 SSH 连接；
- 复核终端、邮件、DNS 和代理日志中的相关指标，检查是否存在 NTLM 凭据暴露的迹象；
- 一旦怀疑失陷，立即轮换受影响凭据；
- 把 Hookedge 的活动当作可能仍在进行的入侵来处理，而不是删掉一个文件就认为威胁结束。
报告同时附上了失陷指标清单，其中 IP 与域名做了防误触处理（如 [.]），只在 MISP、VirusTotal 或 SIEM 这类受控威胁情报平台内还原使用。
热门跟贴