LONDON (IT BOLTWISE) – Sicherheitsforscher melden neue APT28-Kampagnen gegen Regierungs- und diplomatische Organisationen in Rumänien, Spanien und Türkiye. Im Fokus steht eine bislang unbekannte Windows-Batch-Backdoor namens HOOKEDGE, die über makroaktivierte Microsoft-Word-Dokumente ausgeliefert wird. Die Schadsoftware nutzt geplante Tasks, headless Microsoft Edge und Webhook-Endpunkte zur Fernsteuerung sowie Datenexfiltration. Auffällig ist eine zweistufige Architektur, mit der das Team begrenzte Requests pro Endpoint gezielt ausnutzt.
Zwischen Ende September 2025 und Anfang April 2026 sind nach Einschätzung von Sicherheitsforschern Kampagnen gegen staatliche und diplomatische Stellen in Rumänien, Spanien und Türkiye gelaufen. Demnach kam dabei eine zuvor nicht dokumentierte Backdoor zum Einsatz: HOOKEDGE. Die Komponente wird als leichter Windows-Batch-Prozess umgesetzt und primär über Microsoft-Word-Dateien verteilt, die Makros enthalten und mit diplomatisch wirkenden Ködern arbeiten. Für die Zuordnung wird von einer Gruppe namens APT28 ausgegangen, wie sie in der Branche unter Aliasnamen wie „Fancy Bear“ und „Forest Blizzard“ geführt wird.
Technisch beginnt das Ganze beim Dokument: Beim Öffnen fordert Word die Nutzer typischerweise über „Enable Content“ auf. Erst dann schreibt das Makro mehrere Dateien in das Verzeichnis „%userprofile%“ und startet anschließend eine Installationskette, die HOOKEDGE in Betrieb nimmt. Der nächste Schritt ist besonders für die Abwehr relevant, weil er nicht nur auf einmalige Ausführung setzt: Ein Installer-Launcher legt eine geplante Aufgabe an, die im 30-Minuten-Takt einen weiteren HOOKEDGE-Launcher startet und dabei die Backdoor als Argument übergibt. Danach räumt sich der Schadcode selbst auf – inklusive des Installers, des Launcher-Prozesses und einer Task-Definition – mit dem Ziel, Spuren zu verwischen und die forensische Untersuchung zu erschweren.
Im Kern arbeitet HOOKEDGE als Batch-basierte Polling-Engine, die remote Befehle entgegennehmen und anschließend Ergebnisse zurückspielen kann. Laut den vorliegenden Beschreibungen erfolgt das Abrufen beliebiger „.cmd“-Payloads über einen Staging-Webhook, während die Ausführung der Payloads selbst als lokaler Prozess erfolgt. Für die Datenübertragung startet der Schadcode Microsoft Edge im headless Modus oder in einem versteckten Fenster und löst dann eine HTTP-Anfrage zu einem Webhook-Endpunkt aus. Nach der Übertragung löscht HOOKEDGE temporäre Dateien und beendet zusätzlich Prozesse, deren Fenstertitel zum jeweiligen Task-Identifier passen. Gerade die Kombination aus Scheduled Task, versteckter Browser-Aktivität und Webhook-Kommunikation macht die Kampagne für Organisationen schwer greifbar, weil die Muster im Netzwerkalltag wie normale HTTP-Traffic-Bestandteile wirken können.
Besonders deutet eine zweite Ebene darauf hin, dass das Team nicht nur „funktioniert“, sondern auch reibungsarm operieren will. In Beobachtungen wird eine zweistufige HOOKEDGE-Variante beschrieben, die vor allem bei höherpriorisierten Zielen eingesetzt wurde, mit Beaconing-Intervallen von teilweise nur fünf Minuten. Damit gewinnen Angreifer mehr Kontrolle über Tasking und interaktive Post-Exploitation-Aktivitäten. Gleichzeitig wird die zweite Stufe eingesetzt, um eine konkrete Infrastrukturbegrenzung zu entschärfen: Webhook[.]site verfügt im Free-Tier über ein Limit von 100 Requests pro unique Endpoint. Bei einem 30-Minuten-Intervall würde ein einzelner Endpoint demnach innerhalb von etwa zwei bis drei Tagen aufgebraucht sein; die Angreifer lösen das, indem sie High-Value-Victims auf dedizierte zweite-stage Webhook-Endpoints umleiten und so Initial-Access- und Collection-Infrastruktur sauber trennen.
Auch der Liefermechanismus zeigt, dass die Taktik über Monate angepasst wurde. Laut den Ausführungen wurde der Implant zwischen September 2025 und April 2026 fortlaufend verfeinert, um automatisierte Sandbox-Umgebungen zu umgehen und sich an reduzierte Free-Tier-API-Limits anzupassen. Zusätzlich heißt es, dass Betreiber im Dokument nicht mehr unbedingt den „Canary“ nutzt, der beim Öffnen die IP-Adressen der Opfer erfasste. Welche konkrete Motivation hinter dem Entfernen dieses Signals steckt, bleibt offen; vermutet wird aber, dass damit netzwerkbasierte Indikatoren of Compromise reduziert werden. Für die Praxis bedeutet das: Selbst wenn einzelne IoC-Muster wie eingebettete Referenzen oder Dokument-„Wahrnehmungen“ verschwinden, bleibt die Angriffskette über Makros, geplante Tasks, headless Edge und Webhook-C2 als strukturelles Risiko bestehen.
Für IT-Sicherheitsverantwortliche lässt sich daraus ein recht klares Prioritätenbild ableiten: Makroausführung aus Dokumenten mit Internet-Ursprung konsequent blockieren, weil HOOKEDGE ohne das Aktivieren von Inhalten kaum startet. Ergänzend sollten Erkennungen auf Scheduled-Task-Missbrauch ansetzen, inklusive ungewöhnlicher 30-Minuten-Intervalle, atypischer Task-Namen und Ausführungsparameter, die auf Batch-Launcher-Ketten hindeuten. Ebenso wichtig sind Signale rund um headless Microsoft Edge, insbesondere wenn es zeitgleich mit auffälligen Outbound-Verbindungen zu Webhook-Diensten auftritt. Die beschriebenen Schritte – Dateiablage im Benutzerprofil, anschließende Task-Erstellung und das anschließende Polling mit HTTP-Anfragen – bieten dabei mehrere Ansatzpunkte für Detection Engineering, auch wenn einzelne Payload-Details variieren.
In Summe wirkt HOOKEDGE weniger wie ein kompletter Capabilities-Sprung, sondern eher wie eine ausgeklügelte Weiterentwicklung bestehender Tradecraft-Elemente. Die Zuordnung wird dabei unter anderem mit Code- und Handwerks-Überschneidungen zu HEADLACE begründet, einer modularen Windows-Backdoor, die seit April 2023 gegen Diplomaten im Einsatz gewesen sein soll. Der strategische Effekt ist für Verteidiger dennoch spürbar: Ein modularer Ansatz, der Webhook-Dienste als C2, Payload-Staging und Exfiltration nutzt, erlaubt eine Betriebshygiene ohne dedizierte Infrastruktur und kann sich dadurch schnell an Abwehrmaßnahmen und Ressourcengrenzen anpassen. Genau diese Kombination aus schlanker Erstzugriffskomponente und operativer Resilienz erklärt auch, warum die Kampagnen in verschiedenen Ländern und über längere Zeiträume hinweg wiederkehrend beobachtet werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "HOOKEDGE-Backdoor von APT28: Makros, Scheduled Tasks und Webhook-C2" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "HOOKEDGE-Backdoor von APT28: Makros, Scheduled Tasks und Webhook-C2" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »HOOKEDGE-Backdoor von APT28: Makros, Scheduled Tasks und Webhook-C2« bei Google Deutschland suchen, bei Bing oder Google News!