Rosyjscy hakerzy w przemyśle zbrojeniowym państw NATO. Odkryto nieznane narzędzie

Za atakami stoi grupa APT28, znana też pod nazwami Fancy Bear, Forest Blizzard lub Swallowtail. Aktywny od 2007 r. kolektyw, według władz USA, działa jako część rosyjskiego wywiadu wojskowego (GRU), od lat zdobywając informacje na potrzeby Moskwy. Szeroki rozgłos przyniosło mu powiązanie z atakiem na Partię Demokratyczną przed wyborami prezydenckimi w Stanach Zjednoczonych w 2016 roku.

Z ustaleń zespołu Symantec Threat Hunter Team wynika, że celem najnowszej kampanii były trzy organizacje z dwóch europejskich państw NATO:

• stocznia budująca okręty wojenne,
• producent silników do samolotów wojskowych,
• organy ścigania.

Nazw zaatakowanych podmiotów nie zostały ujawnione. 

Zakres, w połączeniu z harmonogramem określonym w raporcie Recorded Future, jest zgodny z działaniami polegającymi na zbieraniu danych, ukierunkowanymi na cele rządowe i obronne w Europie.
Raport Symantec Threat Hunter Team

Badaczom udało się szczegółowo odtworzyć przebieg ataku na stocznię. Wcześniej wiedzieli przede wszystkim, w jaki sposób APT28 wykorzystywała złośliwe oprogramowanie (Hookedge) do infekowania komputerów. Teraz ustalili, co atakujący robili po włamaniu do sieci przedsiębiorstwa i jak próbowali uzyskać dostęp do kolejnych urządzeń i danych.

Od załącznika do dostępu

Atak na stocznię rozpoczął się 24 lipca 2026 roku. Tego dnia jeden z pracowników otworzył dokument Word dołączony jako załącznik do wiadomości e-mail. Plik zawierał ukryty kod, który uruchomił złośliwe oprogramowanie Hookedge.

Dokument zawierał mocno zaciemnione makro, które dzieliło kod źródłowy VBA i zapisane ciągi znaków na krótkie fragmenty łączone w czasie wykonywania – technika ta służyła do omijania statycznego skanowania antywirusowego.
Raport Symantec Threat Hunter Team

Program umożliwił napastnikom zdalne wydawanie poleceń. Wykorzystywał przy tym przeglądarkę Microsoft Edge, uruchamianą w niewidocznym dla użytkownika oknie. Za jej pośrednictwem łączył się z legalną usługą internetową webhook.site, przez którą odbierał instrukcje i przesyłał wyniki ich wykonania. Dzięki temu cyberprzestępcy mogli prowadzić działania bez wyświetlania podejrzanych okien na ekranie pracownika. 

Początkowo sprawdzali konfigurację komputera i dostępne połączenia internetowe. Chcieli też ustalić, z jakich zasobów firmowej sieci mogą korzystać.Trzy dni później przeszli jednak do bardziej zaawansowanych działań. 

Zamiast korzystać z pośrednictwa legalnej usługi, atakujący zaczęli komunikować się z przejętym urządzeniem przez własny serwer. Symantec zaobserwował serię poleceń wykonywanych w krótkich odstępach czasu, co wskazuje, że mogli ręcznie sterować atakiem.

Ich celem było uzyskanie szerszego dostępu do infrastruktury przedsiębiorstwa. Utworzyli więc tzw. tunel SSH – połączenie pozwalające dostać się z zewnątrz do wewnętrznej sieci stoczni przez zainfekowany komputer. Sprawdzali potem kolejne urządzenia i serwery, szukając możliwości dalszego przemieszczania się po systemach firmy.

Badacze wykryli też próbę przechwycenia danych logowania. Hakerzy zastosowali skrypt, nakłaniający komputer do przeprowadzenia procesu uwierzytelnienia, po czym przechwytywał wymieniane w jego trakcie informacje.

Symantec odkrył nieznane wcześniej narzędzie

Jednym z najważniejszych ustaleń raportu jest wykrycie programu oznaczonego jako ld.exe, którego wykorzystania wcześniej nie udokumentowano.

Narzędzie pojawiło się podczas kolejnego etapu włamania – pod koniec lipca. Jego zadaniem było odszyfrowanie i uruchomienie dodatkowego programu bezpośrednio w pamięci komputera. Sposób ten utrudnia wykrycie zagrożenia, ponieważ szkodliwy kod nie musi być zapisywany na dysku w zwykłej, możliwej do przeanalizowania postaci.

Plik ld.exe został w rzeczywistości uruchomiony na hoście poprzedniego popołudnia. Następnie został uruchomiony bezpośrednio, podając klucz deszyfrujący i ścieżkę do zaszyfrowanego pliku jako argumenty wiersza poleceń.
Raport Symantec Threat Hunter Team

Badacze ustalili, że do uruchomienia ukrytego programu potrzebny był specjalny klucz przekazywany dopiero podczas wykonywania polecenia. Nie udało im się jednak odzyskać samego zaszyfrowanego pliku. W rezultacie nie wiadomo, jakie dodatkowe możliwości miało narzędzie przygotowane przez grupę ani do czego zamierzali je wykorzystać.

Ślady aktywności złośliwego oprogramowania były widoczne w systemie stoczni jeszcze 24 września, czyli dwa miesiące po początkowym włamaniu. Nie oznacza to jednak, że przez cały ten okres hakerzy aktywnie sterowali urządzeniem. Ostatnie zidentyfikowane ręcznie wydane polecenia pochodzą z końca lipca. Symantec nie potwierdził też, czy z przedsiębiorstwa wykradziono poufne dokumenty.

APT28 od lat atakuje też Polskę

APT28 jest jedną z najbardziej rozpoznawalnych grup cyberszpiegowskich. 

Jej działalność koncentruje się przede wszystkim na organizacjach posiadających informacje istotne z punktu widzenia bezpieczeństwa państwa. Wielokrotnie obserwowano jej działania też w Polsce. CSIRT GOV wskazał APT28 jako największe źródło zagrożenia spośród monitorowanych grup. 

Grupa prowadziła kampanie wymierzone m.in. w administrację rządową, wykorzystując fałszywe zaproszenia na konferencje i programy podszywające się pod narzędzia sztucznej inteligencji.

W kwietniu 2026 roku na naszych łamach opisywaliśmy także międzynarodową operację przeciwko działalności grupy, w której uczestniczyła m.in. polska Służba Kontrwywiadu Wojskowego. Dotyczyła ona wykorzystywania przejętych routerów do prowadzenia szpiegostwa.

Organizacje, które zidentyfikują wskaźniki Hookedge w swoim środowisku, powinny traktować włamanie jako potencjalnie trwające, a nie zakończone, i szukać przypadków kradzieży danych uwierzytelniających i tunelowania opisanych tutaj, zamiast zakładać, że instalacja tylnych drzwi stanowi cały zakres działań atakujących.
Raport Symantec Threat Hunter Team

Najnowsze odkrycia Symanteca pokazują, że dla APT28 samo zainfekowanie komputera może być dopiero początkiem operacji. Atakujący starają się następnie zdobyć dostęp do kolejnych systemów, a także utrzymać możliwość powrotu do sieci ofiary.