LONDON (IT BOLTWISE) – Sicherheitsforscher melden eine neue Kampagne gegen Regierungs- und Diplomatieorganisationen in Rumänien, Spanien und Türkiye. Im Zeitraum von Ende September 2025 bis Anfang April 2026 soll eine bislang undokumentierte Backdoor namens HOOKEDGE über Makro-Word-Dokumente zugestellt worden sein. Die Malware arbeitet als leichter Windows-Batch-Implant und holt Kommandos sowie Payloads über webhook[.]site nach. Auffällig ist außerdem eine Zwei-Stufen-Architektur, die die begrenzte Request-Quote der Webhook-Endpoints länger ausnutzen soll.
Im Kern zeigt die aktuelle HOOKEDGE-Backdoor, wie sehr sich Angreifer auf betriebliche Robustheit statt auf spektakuläre Neuerungen konzentrieren. Laut Analyse der Insikt Group (Recorded Future) liefen die beobachteten Kampagnen gegen Regierungs- und diplomatische Einrichtungen in Rumänien, Spanien und Türkiye zwischen Ende September 2025 und Anfang April 2026. Dabei soll BlueDelta, eine von Mastercard getragene Cybersecurity- und Threat-Intelligence-Einheit, HOOKEDGE aufgedeckt haben: ein leichter Windows-Batch-Angriffscode, der als direkter Nachfolger von HEADLACE beschrieben wird und über Makro-aktivierte Microsoft-Word-Dokumente verteilt wird.
Der Einstieg wirkt dabei klassisch, aber in Details angepasst. Sobald das Opfer das Dokument öffnet und „Enable Content“ aktiviert, sollen die Makros sechs Dateien in das Verzeichnis „%userprofile%“ schreiben und anschließend eine Installationskette starten. Diese Kette setzt laut Bericht zunächst einen Installer-Launcher ein, der eine geplante Aufgabe (Scheduled Task) anlegt, die alle 30 Minuten den HOOKEDGE-Launcher mit einem Argument ausführt. Danach löschen die Komponenten sich selbst, einschließlich des Installer-Launchers und der Task-Definition, um Spuren zu verwischen und die forensische Aufklärung zu erschweren.
Besonders relevant für Incident Response ist die Kommunikation über webhook[.]site. HOOKEDGE führt offenbar eine Polling-Schleife aus, um beliebige.cmd-Payloads von einem Staging-Webhook abzurufen, auszuführen und die Ergebnisse wieder an den Betreiber zurückzuschicken. Laut den vorliegenden technischen Beschreibungen passiert die Datenübertragung über einen headless oder im Verborgenen gestarteten Microsoft-Edge-Prozess: Das Implant startet Edge, führt eine HTTP-Anfrage an die Webhook-URL aus und löscht anschließend temporäre Dateien. Zusätzlich soll der Code Prozesse beenden, deren Fenstertitel zum HOOKEDGE-Task-Identifier passen, was wiederum das „Aufräumen“ nach der Ausführung ergänzt.
Die Zuordnung zum Bedrohungsakteur erfolgt über wiederverwendete Code- und Taktik-Merkmale: Laut den Angaben, die Recorded Future für eine Zuordnung mit „moderate confidence“ heranzieht, soll HOOKEDGE mit APT28 (auch als Fancy Bear und Forest Blizzard bekannt) zusammenhängen. Als Begründung verweist die Analyse auf signifikante Übereinstimmungen zwischen HOOKEDGE und dem modularen Windows-Backdoor HEADLACE, das APT28 bereits seit April 2023 in Angriffen gegen Diplomaten eingesetzt haben soll. Dazu zählen sowohl Ähnlichkeiten in der Kernarchitektur als auch der gezielte Missbrauch von Webhook-Diensten für Command-and-Control, Payload-Staging und Exfiltration, wodurch sich bösartiger Traffic leichter in reguläre Netzwerkmuster „einklinken“ kann, ohne dass dedizierte Infrastruktur betrieben werden muss.
Technisch setzt die Kampagne zudem auf eine Zwei-Stufen-Strategie, die vor allem die Infrastrukturgrenzen der Angreifer adressiert. webhook[.]site limitiert dem Bericht zufolge im Free-Tarif auf maximal 100 Requests pro unique Endpoint. Bei einem Beacon-Intervall von 30 Minuten würde ein Endpoint-„Budget“ demnach innerhalb von etwa zwei bis drei Tagen verbraucht. Durch die Verlagerung von „high-priority“-Opfern auf dedizierte zweite Webhook-Endpunkte sollen Erstzugriffs-Mechanismen und aktive Sammlung (Collection) getrennt bleiben, sodass Betreiber taktische Aufgaben und Interaktionen nach dem Kompromittieren fortsetzen können, ohne dass die limitierten Quoten der ursprünglichen Einstiegskanäle frühzeitig erschöpfen.
Auch die operative Anpassung an Abwehrmaßnahmen sticht heraus. Laut Recorded Future wurde HOOKEDGE zwischen September 2025 und April 2026 kontinuierlich verfeinert, um automatisierte Sandbox-Umgebungen zu umgehen und auf reduzierte Free-Tier-API-Limits auf webhook[.]site zu reagieren. Gleichzeitig soll BlueDelta die Vorgehensweise modifiziert haben: In späteren Versionen entfernten die Angreifer dem Bericht zufolge den „document-open canary“, der beim Öffnen der Datei offenbar die IP-Adressen der Opfer erfasst hatte. Die Motivation bleibt unklar; es wird aber vermutet, dass damit netzwerkbasierte Indikatoren für Kompromittierung sinken sollen, weil weniger verwertbare Frühsignale im Zielnetz entstehen.
Für Organisationen ergibt sich daraus ein ziemlich konkretes Verteidigungsbild. Empfohlen wird laut Analyse, Makroausführung zu unterbinden, wenn Dokumente aus dem Internet stammen, und außerdem die Detektion auf Scheduled-Task-Missbrauch, headless Ausführung von Microsoft Edge sowie ausgehende Verbindungen zu Webhook-Diensten auszubauen. Gerade geplante Aufgaben in Kombination mit Makro-gestützter Initialausführung sind ein Muster, das sich in der Praxis gut mit Endpoint-Logs, Prozessketten und Netzwerk-Flows abgleichen lässt. Denn selbst wenn die Backdoor nur wenige Funktionen abdeckt, erzeugt sie durch die regelmäßige Task- und Request-Struktur messbare Ereignisse, die sich nicht vollständig durch „Leichtgewichts“-Code wegargumentieren lassen.
Insgesamt beschreibt der Bericht HOOKEDGE als Beispiel dafür, wie Bedrohungsakteure bestehende Tradecraft weiterentwickeln, statt ständig neue Fähigkeiten zu erfinden. Laut Recorded Future investiert BlueDelta weiterhin in leicht anpassbare Initial-Access-Tools, um Informationsbeschaffung gegen europäische Regierungs- und Diplomatieziele zu unterstützen. Entscheidend ist dabei nicht nur die technische Ausführung, sondern die Abstimmung auf realistische Grenzen der eingesetzten Infrastruktur: Quoten, Erkennungsmuster und Ermittlungsaufwände werden offenbar systematisch in die Gestaltung der Kampagnen einkalkuliert. Für Sicherheitsverantwortliche heißt das, dass sich die Abwehr weniger auf einzelne Artefakte versteifen sollte, sondern auf das Zusammenspiel aus Makros, Scheduled Tasks, headless Browser-Ausführung und charakteristischen Webhook-Exfiltrationspfaden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "HOOKEDGE: Neue HOOKEDGE-Backdoor tarnt sich über Webhook-C2 bei Diplomaten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "HOOKEDGE: Neue HOOKEDGE-Backdoor tarnt sich über Webhook-C2 bei Diplomaten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »HOOKEDGE: Neue HOOKEDGE-Backdoor tarnt sich über Webhook-C2 bei Diplomaten« bei Google Deutschland suchen, bei Bing oder Google News!