El actor de amenazas patrocinado por el Estado ruso conocido como APT28 (también BlueDelta, Fancy Bear y Forest Blizzard) ha sido señalado como responsable de ataques contra dos Estados miembros de la Organización del Tratado del Atlántico Norte (OTAN).
El equipo Symantec Threat Hunter Team, que sigue este conglomerado de actividad con el nombre de Swallowtail, documentó el uso de un backdoor denominado HOOKEDGE y de un cargador hasta ahora no documentado, diseñado para descifrar y ejecutar en memoria una carga útil cifrada mediante una clave criptográfica suministrada en tiempo de ejecución.
Entre los objetivos de la actividad figuran una agencia policial, un constructor naval y un fabricante de motores de aviación militar, entidades que manejan información susceptible de interesar a un servicio de inteligencia extranjero, según la unidad de inteligencia de amenazas propiedad de Broadcom.
Durante uno de los ataques contra el constructor naval, los operadores regresaron repetidamente a un host comprometido a lo largo de una semana en lo que parecía ser una actividad manual de teclado. Robaron material de credenciales mediante dos técnicas distintas, abrieron un túnel SSH persistente hacia la red interna de la organización y desplegaron un cargador reflectivo previamente no documentado.
El uso de HOOKEDGE por parte de APT28 fue documentado públicamente por primera vez por Recorded Future Insikt Group a finales de agosto de 2026, en relación con una campaña de espionaje cibernético dirigida a organizaciones gubernamentales y diplomáticas de Rumanía, España y Türkiye entre septiembre de 2025 y principios de abril de 2026.
HOOKEDGE comparte código y tácticas significativas con HEADLACE, un implante modular de Windows que APT28 utiliza en ataques contra diplomáticos desde abril de 2023. Distribuido mediante señuelos de spear-phishing, HOOKEDGE es un script batch de Windows básico capaz de aceptar comandos del atacante y devolver los resultados.
El backdoor se entrega a través de documentos de Microsoft Word con macros habilitadas y se comunica íntegramente mediante una URL de webhook[.]site, que actúa como canal para programar tareas y recibir la salida de ejecución. Las máquinas infectadas obtienen esas tareas usando una instancia oculta y fuera de pantalla del navegador Microsoft Edge, en lugar de recurrir a un descargador tradicional.
En el ataque contra el constructor naval de finales de julio de 2026, los atacantes habrían entregado nuevas variantes de HOOKEDGE que abandonan el uso de webhook[.]site en favor de una dirección IP dedicada ("185.82.218[.]119:443") tanto para la asignación de tareas como para la exfiltración.
Los atacantes emplearon dos técnicas distintas de robo de credenciales. En una, introdujeron una clave privada SSH en el host comprometido y la usaron de inmediato para abrir una conexión SSH de vuelta a su propio servidor, solicitando un túnel persistente en segundo plano que les diera una ruta desde su infraestructura hacia la red interna del objetivo.
En la otra, ejecutaron un breve script PowerShell autocontenido que levanta un listener en la propia dirección de loopback del host y obliga a la máquina a autenticarse contra él, capturando el handshake NTLM resultante.
También se observó a los atacantes depositando un nuevo cargador reflectivo ("ld.exe") mediante un comando curl a través de SSH, diseñado para decodificar y ejecutar un componente de siguiente etapa. La naturaleza exacta de la carga útil sigue siendo desconocida.
Las tácticas observadas tras el acceso inicial —robo de credenciales mediante dos técnicas independientes, un túnel de red persistente y un cargador previamente no documentado— van más allá del mecanismo de entrega que se había reportado públicamente sobre esta campaña.
La revelación coincide con la identificación por parte de Team Cymru de cinco servidores adicionales de mando y control (C2) de LegionRelay usados en ataques contra entidades ucranianas. Las direcciones IP son las siguientes:
- 91.149.221[.]118:8000
- 91.149.221[.]123:8000
- 166.88.239[.]54:8000
- 194.87.108[.]12:8000
- 194.87.108[.]217:8000
LegionRelay es el nombre asignado a un RAT basado en PowerShell que permite enumerar y exfiltrar archivos, capturar pantallas, robar datos de navegadores, exfiltrar datos de Telegram y WhatsApp y configurar acceso RDP. Se atribuye a un actor de amenazas denominado GREYVIBE, al que se evalúa como responsable de ataques persistentes contra Ucrania y entidades relacionadas con ese país desde al menos agosto de 2025.
Ataques contra Ucrania en el primer semestre de 2026
En un informe publicado a finales del mes pasado, el Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA) reveló que los hackers rusos apuntan cada vez más a los teléfonos inteligentes del personal militar y los funcionarios gubernamentales ucranianos con fines de espionaje y ataques de motivación económica.
El creciente papel de los teléfonos inteligentes en las comunicaciones entre personal militar, empleados públicos y civiles los está convirtiendo en objetivos más atractivos para la recopilación de inteligencia, el compromiso adicional y los ataques de motivación económica.
Esto incluye el uso del kit de exploits iOS DarkSword, distribuido mediante ataques de watering hole a través de medios de comunicación legítimos ucranianos comprometidos y sitios gubernamentales para extraer datos sensibles de dispositivos comprometidos.
La herramienta está asociada a actores de amenazas rusos, y su uso contra objetivos ucranianos apunta al creciente interés del adversario por la plataforma iOS, que hasta ahora se consideraba relativamente segura.
Las conclusiones coinciden con un informe del Google Threat Intelligence Group (GTIG) de marzo de 2026, que vinculó al actor de espionaje ruso UNC6353 con el uso de los kits Coruna y DarkSword en campañas de watering hole dirigidas a usuarios ucranianos desde el verano de 2025.
Las amenazas también se extienden al ecosistema Android, donde los conglomerados UAC-0244 y UAC-0263 utilizan aplicaciones señuelo para distribuir dos familias de malware distintas:
- UAC-0244 distribuye CAMELSPY, que recopila información del sistema del dispositivo, geolocalización, datos de la tarjeta SIM, contactos, registros de llamadas e imágenes de la galería.
- UAC-0263 distribuye BTMOB RAT, que otorga al actor de amenazas el control del dispositivo infectado y la capacidad de exfiltrar datos.
CERT-UA también informó de que APT28 explota vulnerabilidades como CVE-2026-21509, una omisión de la función de seguridad de Microsoft Office, y CVE-2026-8496, una vulnerabilidad de tipo zero-click en el cliente de correo web SOGo, para distribuir el malware COVENANT y extraer, respectivamente, credenciales y datos de los buzones de las víctimas.
Al mismo tiempo, el actor no ha abandonado enfoques más antiguos y probados, pero que, por desgracia, siguen siendo eficaces. En particular, se observaron ataques que explotan vulnerabilidades XSS en el cliente de correo web Roundcube. También se usaron documentos de Excel con macros para seguir distribuyendo COVENANT.
Estos ataques figuran entre los 3.137 incidentes cibernéticos registrados por CERT-UA en el primer semestre de 2026, una cifra estimada un 8 % superior a la del segundo semestre de 2025.
Acerca del autor
