重點
- 賽門鐵克表示，研究人員無法確定攻擊者在整個行動期間是否維持不間斷存取權限。
- 賽門鐵克表示，受攻擊組織位於歐洲，但研究人員沒有確認涉及的兩個北約國家或組織。
- 賽門鐵克表示，黑客利用HOOKEDGE後門存取系統、竊取憑證及收集受害者網絡資料。
攻擊者利用HOOKEDGE後門存取系統及收集受害者網絡資料。賽門鐵克表示，首次確認感染發生於7月24日，相關惡意活動最遲於9月24日仍被偵測到。
賽門鐵克將有關活動與APT28掛鈎，並形容該組織與俄羅斯軍事情報機構格魯烏有關。受攻擊組織位於歐洲，但研究人員沒有確認涉及的兩個北約國家或受害者。
HOOKEDGE透過惡意Word附件進入網絡
賽門鐵克表示，一名僱員在7月開啟一份以電郵附件形式收到的惡意Microsoft Word文件。攻擊者其後探索公司的內部網絡，並試圖取得登入憑證。
該載入器此前未有公開記錄，設計用途是利用運行時提供的加密密鑰，在記憶體中解密及運行加密有效載荷。
HOOKEDGE變種使用專用IP地址發出指令
賽門鐵克表示，2026年7月下旬在軍艦建造商攻擊中使用的HOOKEDGE變種，放棄webhook.site，改用專用IP地址發出指令及外洩資料。
賽門鐵克表示，有關行動持續至少兩個月，但研究人員無法確定攻擊者在該段期間是否維持不間斷存取權限。
The Hacker News表示，最近一次活動於9月24日被記錄，當時在該建造商網絡內發現與HOOKEDGE有關的Visual Basic Script啟動程式。目前仍不清楚入侵期間是否有任何資料被取走。
常見問題
誰發動了攻擊？
賽門鐵克將攻擊歸因於APT28，一個與俄羅斯軍事情報機構格魯烏有關的組織。
攻擊者如何進入網絡？
賽門鐵克表示，一名僱員在7月開啟一份以電郵附件形式收到的惡意Microsoft Word文件。攻擊者其後探索內部網絡，並試圖取得登入憑證。
APT28行動中有資料被取走嗎？
The Hacker News表示，目前仍不清楚入侵期間是否有任何資料被取走。賽門鐵克亦表示，研究人員無法確定攻擊者在整個行動期間是否維持不間斷存取權限。
來源
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| 賽門鐵克表示，與俄羅斯政府有關的黑客，鎖定北約兩個國家的一家軍艦建造商、軍用飛機引擎製造商及執法機構。 | Symantec, via The Record | 引述 |
| 賽門鐵克表示，受攻擊組織位於歐洲，但研究人員沒有確認涉及的兩個北約國家或組織。 | Symantec, via The Record | 引述 |
| 賽門鐵克表示，黑客利用HOOKEDGE後門存取系統、竊取憑證及收集受害者網絡資料。 | Symantec, via The Record | 引述 |
| 賽門鐵克表示，首次確認感染發生於7月24日，相關惡意活動最遲於9月24日仍被偵測到。 | Symantec, via The Record | 引述 |
| 賽門鐵克表示，行動持續至少兩個月，但研究人員無法確定攻擊者是否維持不間斷存取權限。 | Symantec, via The Record | 引述 |
| 賽門鐵克表示，一名僱員在7月開啟惡意Microsoft Word附件，其後攻擊者探索網絡並試圖竊取登入憑證。 | Symantec, via The Record | 引述 |
| 賽門鐵克表示，載入器利用運行時提供的加密密鑰，在記憶體中解密及運行加密有效載荷。 | Symantec, via The Hacker News | 引述 |
| 賽門鐵克表示，2026年7月下旬，HOOKEDGE變種使用專用IP地址取代webhook.site發出指令及外洩資料。 | Symantec, via The Hacker News | 引述 |
| The Hacker News表示，最近一次活動於2026年9月24日被記錄，目前仍不清楚是否有任何資料被竊取。 | The Hacker News | 引述 |
| 北約是由32個成員國組成的政府間軍事聯盟。 | Wikipedia | 已證實 |
未能核實
- 攻擊者是否成功竊取敏感資料，尚未確定
- 攻擊者在整個行動期間是否維持不間斷存取權限，尚未確定
- 是否能確認涉及的兩個北約國家及受攻擊組織，尚未確定
