ロシア系スパイ集団、NATO加盟2カ国の3組織に侵入 Edgeを悪用する「HOOKEDGE」の手口
2026年10月22日 21:50
BroadcomのSymantec Threat Hunter Teamは2026年10月20日、ロシア系のサイバースパイ集団「Swallowtail」による、NATO加盟2カ国の3組織を狙った攻撃を公表した。APT28とも呼ばれるこの集団は、Microsoft Edgeを画面外で起動し、正規のWebサービスを通じて指令を取得するバックドア「HOOKEDGE」を使っていた。
艦艇建造企業では、認証情報の収集、内部ネットワークへ接続するSSHトンネルの開設、メモリ内でペイロードを実行するローダーの投入まで確認された。7月24日の初期感染から約2カ月後の9月24日にも、関連するランチャーが観測されている。
■NATO加盟2カ国の防衛企業と法執行機関を標的に
Symantecが確認した対象は、艦艇建造企業、軍用機エンジンメーカー、法執行機関の3組織だ。国名と組織名は公表されていない。いずれも国家安全保障や防衛政策に関わる情報を扱う組織である。
艦船の設計や建造計画、航空機の推進技術、捜査活動に関する情報は、外国の情報機関にとって収集対象となり得る。Symantecは、対象分野の広がりから、欧州の政府・防衛分野を幅広く狙う情報収集活動と整合すると分析している。
最も詳細な侵入経路が確認されたのは艦艇建造企業だった。攻撃者は初期感染後の約1週間、侵害した端末へ繰り返し戻り、人間が直接操作しているとみられる活動を続けた。
CyberScoopによると、Symantecの主席インテリジェンスアナリスト、Dick O'Brien氏は、こうした操作は、その企業が攻撃者に意図的に選ばれた標的であることを示すと説明した。同氏は、初期感染を超えた侵害の拡大が少なくとも試みられたとも指摘している。
■Word文書から画面外のEdgeを起動
HOOKEDGEは、マクロを含むMicrosoft Word文書を通じて配布される。艦艇建造企業では7月24日午後、Outlookの添付ファイルキャッシュから悪意ある文書が開かれたことが確認された。
文書のVBAマクロは、コードや書き出す文字列を短い断片に分け、実行時に連結するよう難読化されていた。これは静的解析を難しくする手法だ。実行されると、ユーザープロファイル内にVBScriptランチャー、HTMLとXHTMLのファイル、バッチスクリプトの計4ファイルを配置した。
バッチスクリプトは既存のEdgeプロセスを終了し、ダウンロードの残存ファイルを削除した。その後、ウィンドウサイズを1×1ピクセル、位置を画面外の座標に指定してEdgeを起動し、Base64で符号化したHTMLとJavaScriptを渡した。
JavaScriptは開発者向けサービス「webhook.site」からデータを取得し、ブラウザのダウンロード機能で保存する。バッチスクリプトは取得した内容をコマンドファイルとして実行し、その出力を送信して一時ファイルを削除した。正規のブラウザとWebサービスを通信に使うことで、通常のWebアクセスに紛れ込みやすくしている。
最初の指令では、外部サービスへの接続可否、プロキシ設定、ログオン中のセッション、IP設定、システム情報、実行中のプロセス、各種フォルダの内容が調べられた。感染端末の状態と、利用可能な外部通信経路を確認する動きだった。
■先行調査で見えたHOOKEDGEの改良
Recorded FutureのInsikt Groupは2026年8月、HOOKEDGEの分析を公表していた。同社の調査対象は、2025年9月下旬から2026年4月上旬にかけて、ルーマニア、スペイン、トルコの政府・外交組織を狙った活動である。
この先行調査では、Windowsのスケジュールタスクによって初期段階の処理を30分ごとに実行し、第2段階では最短5分ごとに指令を確認する構成が観測された。Insikt Groupは、攻撃者がより集中的に操作する対象を選別していたと評価している。
別の改良では、初期段階の通信間隔が61分に延ばされた。Insikt Groupは、最大60分程度の実行を観測する自動解析環境の有効性を下げるとともに、webhook.siteのリクエスト上限への到達を遅らせる効果があった可能性を指摘した。
同社は、文書の開封を知らせる「docopened.jpg」「doc.jpg」と、メール開封の追跡に使われたとみられる「mailopened.jpg」も確認した。これらは外部への画像取得要求を利用して開封状況を伝える仕組みで、攻撃者が配布や感染の進み具合を把握する手掛かりになる。
HOOKEDGEには、APT28が以前使っていたバックドア「HEADLACE」と、JavaScriptの変数名やBase64符号化の方式などに共通点がある。Insikt Groupは、同じ運用者が開発・保守する進化的な後継ツールとの見方を、中程度の確信度で示している。
■専用サーバーへ切り替え、SSHトンネルを設置
艦艇建造企業では7月27日朝、新しいランチャーに続いて、第2段階のバッチスクリプトが現れた。こちらはwebhook.siteから、攻撃者管理下のIPアドレス「185.82.218[.]119」へ接続先を切り替え、TCPポート443で指令の取得と実行結果の送信を行っていた。
約30秒間に7つの指令が相次いで実行され、その間隔は2〜8秒だった。Symantecは、この速さが対話的な操作と整合すると分析した。最初に実行アカウントを確認し、続いてSSH秘密鍵を端末へ配置していた。
秘密鍵は、Adobeのフォルダ名を使ったディレクトリ内に「id_rsa」として保存された。攻撃者は鍵ファイルの所有者とアクセス権を変更し、Windows標準のOpenSSHクライアントを使って、自らのサーバーのTCPポート80へ接続した。
SSHはバックグラウンドで動作し、リモート側から侵害端末を経由して内部ネットワークへ通信できるトンネルを作った。直後には内部ホスト名のDNS検索が行われ、トンネルを偵察に利用したか、利用できるかを試した可能性がある。
7月28日には追加のDNS検索と、システム構成、実行中プロセス、適用済みパッチの調査が続いた。検索先の一つは、名前からメールサーバーとみられた。同日、攻撃者はSSHプロセスを終了させた。
CyberScoopによると、O'Brien氏は、攻撃者が機微な後続活動を専用サーバーへ移した点に注目している。初期段階で正規サービスを使い、その後の操作では専用基盤へ切り替える構成が、今回の侵入で確認された特徴だ。
■PowerShellで端末自身のNTLM認証を捕捉
7月27日には、認証情報の収集に使う短いPowerShellスクリプトも投入された。端末自身を指すループバックアドレスでHTTPリスナーを起動し、ローカルのファイル共有アクセスを装った操作によって、そのリスナーへの認証を発生させる仕組みだった。
スクリプトは固定のNTLMチャレンジを提示し、最大4回の認証試行を捕捉するよう設定されていた。Symantecは、Responderやntlmrelayxと同系統の認証情報収集を、独立したPowerShellスクリプトで実装したものと説明している。
NTLMは、サーバーが提示するチャレンジに対し、パスワードから計算した値で応答する認証方式だ。収集されたNTLMv2のチャレンジ・レスポンス対は、パスワード候補をオフラインで照合する攻撃に利用され得る。また、NTLM認証を別の接続先へ中継するリレー攻撃も、接続先の保護設定などの条件によって成立する。
2025年5月の共同勧告AA25-141Aは、オンプレミスの認証・メールサービスを使う組織に、NTLMの無効化を計画し、証明書認証などのより堅牢な方式へ移行するよう推奨している。外部インフラへのNTLM・SMB要求の遮断と警告も対策に挙げている。
■暗号化ファイルをメモリ内で実行するローダー
7月31日朝、攻撃者は「ld.exe」と「Events.dat」を端末へ送り込んだ。Symantecによると、ld.exe自体は前日の午後にも配置されていた。ld.exeは、それまで公に記録されていなかったリフレクティブローダーである。
このローダーは、暗号化ファイルのパスと復号鍵をコマンドライン引数として受け取る。ファイルをメモリ内で復号し、内部の「ExecuteLoader」という関数を呼び出す仕組みだ。ペイロードをメモリ内で読み込むため、解析では実行ファイルに加えて、その入力となるファイルや引数が重要になる。
Symantecは実行記録から、この端末で使われた復号鍵と「Events.dat」というファイル名を確認した。一方、Events.dat自体は回収されておらず、実行されるペイロードの機能は特定されていない。
8月下旬にも同じハッシュのld.exeと汎用VBScriptランチャーが端末上に残っており、9月24日にはランチャーが再び観測された。Symantecは、HOOKEDGEの侵害指標を見つけた組織に対し、継続中の侵入として調査し、認証情報の収集やトンネル設置などの後続活動も探すよう呼び掛けている。
■長期にわたる情報収集とブラウザ悪用
米英などの政府機関は、APT28をロシア軍参謀本部情報総局（GRU）の第26165部隊に結び付けている。MITREの整理では、少なくとも2004年から活動する集団だ。英国政府の2026年7月更新の脅威プロファイルは、同部隊がウクライナ、欧州のパートナー国、NATO同盟国、英国に対して情報収集や窃取情報の公開を伴う作戦を行うと説明している。
米司法省は2018年7月、民主党全国委員会などへの侵入に関連してGRU将校12人を起訴した。同年10月には、世界反ドーピング機関や化学兵器禁止機関などを狙った活動に関連して、GRU将校7人の起訴を発表している。
共同勧告AA25-141Aは、2022年以降、ウクライナ支援に関わる西側の物流・技術企業などを第26165部隊が狙ってきたと報告した。国境検問所、軍事施設、鉄道駅付近などのインターネット接続カメラへのアクセスも指摘し、支援物資の動きを追跡する目的だった可能性を示している。
ブラウザを悪用する別の事例として、S2 GrupoのLAB52は、2026年2月にウクライナの組織を狙った「DRILLAPP」の活動を報告している。Edgeのリモートデバッグ機能などを使うバックドアで、Laundry Bear（UAC-0190）との関連の可能性が示された。正規ブラウザの機能を攻撃に転用するという点で、HOOKEDGEと共通する発想がある。
■端末の起動引数と通信を組み合わせて監視
今回の攻撃では、Edgeを1×1ピクセル、画面外の座標で起動する引数が、具体的な調査の手掛かりになる。EDRやXDRでは、こうした引数に加え、起動元のプロセス、ユーザー、実行ファイルの場所、関連するスクリプトを組み合わせて調べることが有用だ。
TCPポート80で外部へ接続するSSHプロセスや、バックグラウンド動作とリモート転送を指定した起動も監視対象になる。PowerShellによるループバック上のHTTPリスナー作成と認証の誘発、通常と異なる場所へのld.exeとEvents.datの配置も、今回の活動に沿った確認項目だ。
ネットワーク側では、webhook.siteへの接続を端末側の実行状況と突き合わせる。Elastic Securityも、このサービスを悪用されやすいWebサービスへの接続を調べる検知ルールに含めている。利用が必要な組織では正規利用を把握して監視し、不要な外部サービスは通信ポリシーに基づいて制限する対応が考えられる。
MITRE ATT&CKは、正規Webサービスを指令通信に使う手法をT1102、ウィンドウを隠して活動を見えにくくする手法をT1564.003として整理している。端末とネットワークの記録を関連付けることで、正規プロセスを使う攻撃の実行経路を追いやすくなる。
■公表された主な侵害指標
以下は、Symantecが2026年10月20日付の報告で公表した侵害指標の一部である。HOOKEDGEドロッパーのSHA-256として、次の8件が挙げられている。
4a43aacffc2d8d76f7abac729238779b6c99b10ee09f54c2cea1654a91561303、e068794cf43e381b26c82d746cca107b9f84327a2a8308d5b87ea5529963c4c8。
e8be50171436550e1edd8b4946d2adc0870e97465f67526ea252bff0815abcbe、60ef547ebd2f4252e286db762980481b0da23dcd2c84465509735544c0a9c2b3。
1bb1b27e1695c726c7c1d3d4935f9318afc6f5fd9015d7cf3890f0eb7bf8d47e、a3b44405112e6364447e5d96630edfabcf81e5ad37d690c3ebc73770d62aeabd。
6678049918dda2d5859de0a95e0573fec9496c62bbe72967ae0d3deeb5bda68f、c2c9187033d22d7944ea9298461a0ac693ef2774b4ce08b0955d2aba3646fb44。
VBScriptランチャーのSHA-256は、063930af6a4aad06d8f8aab43226bf6dcddd2c79aa505894ee95876cf9254543、d74c65e6d35d3b2a80686f059590f919316ecaf4ed539192e904d675ba5c7a40、aafbc096e20f259df9166f837d0baf7333f177e6f383ca7cb9215936ecbe7f5eである。
リフレクティブローダーld.exeのSHA-256は、f1cc91e7427a22027f65d31bbee19c54b602d08d7d93e4745b9cea59fa8132ff。専用サーバーのIPアドレスは185.82.218[.]119である。
関連する通信先識別子として、890efd8d-6e9e-428a-bcf9-987745d71000、53379b62-8020-41cf-af57-effa6e1e8506、5b73dc69-d765-4440-a4d2-e9eb33283eb9が公表されている。
このほか、webhook.siteのエンドポイントとして、d828b9fc-5435-4b1c-881f-d6350c11d0b6、ca3c058e-3c88-449b-8299-822cd5d5e17cも挙げられている。
元記事: Russia Weaponized Microsoft Edge to Breach NATO Naval Shipbuilder in Two-Month Espionage Campaign