重点
- 赛门铁克表示，研究人员无法确定攻击者是否在整个行动期间保持不间断访问。
- 赛门铁克表示，目标组织位于欧洲，但研究人员未确定这2个北约国家或相关组织。
- 赛门铁克表示，黑客使用HOOKEDGE后门访问系统、窃取凭据并收集受害者网络的信息。
攻击者使用HOOKEDGE后门访问系统并收集受害者网络的信息。赛门铁克表示，首次确认的感染发生在7月24日，相关恶意活动最晚检测到9月24日。
赛门铁克将该活动归因于APT28，并称该组织与俄罗斯军事情报机构格鲁乌有关。目标组织位于欧洲，但研究人员未确定这2个北约国家或受害者。
HOOKEDGE通过恶意Word附件进入网络
赛门铁克表示，7月，一名员工打开了通过电子邮件附件收到的恶意Microsoft Word文档。攻击者随后探查公司的内部网络，并试图获取登录凭据。
此前未公开的加载器用于解密并在内存中运行加密负载，使用的是运行时提供的加密密钥。
HOOKEDGE变体使用专用IP地址进行任务控制
赛门铁克表示，2026年7月下旬军舰制造商遭攻击时使用的HOOKEDGE变体放弃webhook.site，改用专用IP地址进行任务控制和数据外传。
赛门铁克表示，该行动持续了至少2个月，但研究人员无法确定攻击者是否在这段时间内保持不间断访问。
The Hacker News表示，最近一次活动记录于9月24日，当时在这家军舰制造商的网络中发现了与HOOKEDGE相关的Visual Basic Script启动器。目前尚不清楚入侵期间是否窃取了任何数据。
常见问题
攻击幕后是谁？
赛门铁克将这些攻击归因于APT28，该组织与俄罗斯军事情报机构格鲁乌有关。
攻击者如何进入网络？
赛门铁克表示，7月一名员工打开了通过电子邮件附件收到的恶意Microsoft Word文档。攻击者随后探查内部网络并试图获取登录凭据。
APT28行动中是否窃取了数据？
The Hacker News表示，目前尚不清楚入侵期间是否窃取了任何数据。赛门铁克还表示，研究人员无法确定攻击者是否在整个行动期间保持不间断访问。
来源
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| 赛门铁克表示，与俄罗斯政府有关联的黑客瞄准了2个北约国家的1家军舰制造商、1家军用飞机发动机制造商和1家执法机构。 | Symantec, via The Record | 引述 |
| 赛门铁克表示，目标组织位于欧洲，但研究人员未确定这2个北约国家或相关组织。 | Symantec, via The Record | 引述 |
| 赛门铁克表示，黑客使用HOOKEDGE后门访问系统、窃取凭据并收集受害者网络的信息。 | Symantec, via The Record | 引述 |
| 赛门铁克表示，首次确认的感染发生在7月24日，相关恶意活动最晚检测到9月24日。 | Symantec, via The Record | 引述 |
| 赛门铁克表示，该行动持续了至少2个月，但研究人员无法确定攻击者是否保持不间断访问。 | Symantec, via The Record | 引述 |
| 赛门铁克表示，7月一名员工打开了恶意Microsoft Word附件，此后攻击者探查网络并试图窃取登录凭据。 | Symantec, via The Record | 引述 |
| 赛门铁克表示，加载器使用运行时提供的加密密钥解密并在内存中运行加密负载。 | Symantec, via The Hacker News | 引述 |
| 赛门铁克表示，2026年7月下旬，HOOKEDGE变体使用专用IP地址代替webhook.site进行任务控制和数据外传。 | Symantec, via The Hacker News | 引述 |
| The Hacker News表示，最近一次活动记录于2026年9月24日，目前尚不清楚是否窃取了任何数据。 | The Hacker News | 引述 |
| 北约是由32个成员国组成的政府间军事联盟。 | Wikipedia | 已证实 |
未能核实
- 攻击者是否成功窃取敏感信息尚未确定
- 攻击者是否在整个行动期间保持不间断访问尚未确定
- 这2个北约国家及目标组织是否可以被识别尚未确定
