Hackers russos invadem estaleiro naval da OTAN
O grupo de espionagem cibernética APT28, associado ao governo russo, foi identificado em ataques contra organizações de dois países integrantes da Organização do Tratado do Atlântico Norte (OTAN). Entre os alvos estão um estaleiro naval, uma fabricante de motores para aeronaves militares e uma agência de segurança pública.
A investigação, conduzida pela Symantec Threat Hunter Team, da Broadcom, identificou o uso do backdoor HOOKEDGE e de um carregador de malware até então desconhecido, capaz de descriptografar e executar códigos diretamente na memória do computador.
A campanha, monitorada sob o nome Swallowtail, foi atribuída ao APT28, também conhecido como Fancy Bear, BlueDelta e Forest Blizzard.
Segundo a Symantec, os alvos possuem informações estratégicas potencialmente relevantes para operações de inteligência estrangeira.
Invasores mantiveram acesso à rede de estaleiro naval
Durante um ataque ocorrido no final de julho de 2026, os operadores retornaram repetidamente a um computador comprometido de um estaleiro naval ao longo de uma semana.
A atividade indicou operações manuais, com execução direta de comandos, roubo de credenciais e estabelecimento de mecanismos de acesso persistente à rede interna.
Os pesquisadores identificaram duas técnicas distintas para obtenção de credenciais.
Na primeira, os invasores transferiram uma chave privada SSH para o computador comprometido e estabeleceram uma conexão com sua própria infraestrutura, criando um túnel SSH persistente em segundo plano. Esse mecanismo fornecia um caminho de acesso à rede interna da organização.
Na segunda, utilizaram um script PowerShell para iniciar um serviço local de escuta no endereço de loopback da máquina e forçar uma autenticação, capturando as informações da negociação NTLM.
A operação também envolveu o envio de um novo carregador reflexivo, identificado como ld.exe, por meio de comandos curl executados via SSH.
A ferramenta foi desenvolvida para descriptografar e executar um payload diretamente na memória, utilizando uma chave criptográfica fornecida durante a execução. A funcionalidade exata do componente seguinte ainda não foi determinada.
Backdoor HOOKEDGE recebe novas funcionalidades
O HOOKEDGE foi documentado publicamente pela primeira vez em agosto de 2026, pela Recorded Future Insikt Group, após sua identificação em ataques contra organizações governamentais e diplomáticas da Romênia, Espanha e Turquia.
Essas atividades ocorreram entre setembro de 2025 e abril de 2026.
O malware compartilha características técnicas com o HEADLACE, um implante modular para Windows utilizado pelo APT28 em campanhas contra diplomatas desde abril de 2023.
Originalmente, o HOOKEDGE era distribuído por documentos Microsoft Word com macros maliciosas, enviados por spear-phishing.
Após a execução, o backdoor utilizava scripts em lote do Windows para receber comandos e transmitir resultados por meio do serviço webhook[.]site.
As máquinas comprometidas recuperavam as instruções utilizando uma instância oculta do navegador Microsoft Edge, evitando a necessidade de um downloader convencional.
Na campanha contra o estaleiro naval, entretanto, os operadores utilizaram variantes que substituíram o webhook[.]site por comunicação direta com o endereço 185.82.218[.]119, na porta 443, tanto para recebimento de comandos quanto para exfiltração de informações.
Segundo a Symantec, a combinação de roubo de credenciais, túneis persistentes e execução de código em memória representa uma ampliação das capacidades anteriormente documentadas nessa operação.
Infraestrutura de espionagem contra a Ucrânia também é identificada
Em uma investigação separada, a Team Cymru identificou cinco novos servidores de comando e controle associados ao LegionRelay, ferramenta utilizada em ataques contra organizações ucranianas.
Os endereços identificados são:
91.149.221[.]118:8000
91.149.221[.]123:8000
166.88.239[.]54:8000
194.87.108[.]12:8000
194.87.108[.]217:8000
O LegionRelay é um trojan de acesso remoto (RAT) baseado em PowerShell, capaz de enumerar arquivos, extrair informações, capturar telas e roubar dados de navegadores, Telegram e WhatsApp, além de configurar acessos por Remote Desktop Protocol (RDP).
A ferramenta é atribuída ao grupo GREYVIBE, associado a ataques persistentes contra a Ucrânia e entidades relacionadas ao país desde pelo menos agosto de 2025.
Hackers russos ampliam ataques contra smartphones
O CERT-UA, centro de resposta a incidentes cibernéticos da Ucrânia, também identificou um crescimento das operações direcionadas a smartphones de militares e funcionários governamentais.
Segundo a agência, a utilização crescente de dispositivos móveis para comunicações oficiais e militares tornou esses equipamentos alvos relevantes para espionagem, comprometimento de contas e ataques financeiramente motivados.
Entre as ferramentas observadas está o DarkSword, um kit de exploração de vulnerabilidades do iOS distribuído por ataques do tipo watering hole, nos quais sites legítimos comprometidos são utilizados para atingir seus visitantes.
Nesse caso, os invasores exploraram veículos de notícias e páginas governamentais ucranianas para distribuir códigos capazes de extrair informações sensíveis de dispositivos afetados.
As descobertas são consistentes com uma investigação publicada pelo Google Threat Intelligence Group (GTIG) em março de 2026, que associou o grupo russo UNC6353 ao uso dos kits Coruna e DarkSword em campanhas contra usuários ucranianos desde meados de 2025.
No Android, o CERT-UA identificou dois grupos utilizando aplicativos falsos para distribuir malwares diferentes.
O UAC-0244 utiliza o CAMELSPY, capaz de coletar informações do dispositivo, localização geográfica, dados do cartão SIM, contatos, registros de chamadas e imagens armazenadas na galeria.
Já o UAC-0263 distribui o BTMOB RAT, que permite controlar remotamente dispositivos comprometidos e extrair informações.
APT28 explora vulnerabilidades no Office e em serviços de e-mail
O CERT-UA também relatou atividades do APT28 envolvendo a exploração de vulnerabilidades em softwares amplamente utilizados.
Uma delas é a CVE-2026-21509, falha de bypass de mecanismos de segurança do Microsoft Office, explorada para distribuir o malware COVENANT.
Outra é a CVE-2026-8496, vulnerabilidade zero-click no cliente de webmail SOGo, utilizada para obter credenciais e informações de caixas de e-mail.
O grupo também continua utilizando técnicas mais antigas, incluindo exploração de vulnerabilidades Cross-Site Scripting (XSS) no Roundcube e documentos Microsoft Excel com macros maliciosas para distribuir o COVENANT.
De acordo com o CERT-UA, essas atividades integram um conjunto de 3.137 incidentes cibernéticos registrados na Ucrânia durante o primeiro semestre de 2026, número aproximadamente 8% superior ao observado no segundo semestre de 2025.
Os relatórios descrevem diferentes operações de espionagem e comprometimento de sistemas, com foco em organizações militares, governamentais e setores estratégicos, incluindo infraestrutura de defesa e dispositivos móveis.
