BlueDelta社、HOOKEDGEで防衛と外交をターゲットに

Executive Summary

Insikt Group は、2025年9月下旬から2026年4月初旬にかけて、ルーマニア、スペイン、トルコの政府および外交機関を標的に実施された一連のBlueDelta初期アクセスキャンペーンを特定しました。これらのキャンペーンは、外交テーマの魅力的なマクロ対応Microsoft Word文書を通じて、2025年9月のスペインとモルドバの当局者会議直後に作成された、スペイン大統領府・司法・コルテス関係省を模した資料を含む、軽量なWindowsバッチスクリプトバックドア「HOOKEDGE」を提供しました。

Insikt Group は、この活動がロシア連邦軍参謀本部(GRU)に属するロシア国家支援の脅威グループ、BlueDelta(APT28、Fancy Bear、Forest Blizzardと重複)によって行われたと中程度の自信を持って評価しています。この評価は、HOOKEDGEと過去のBlueDeltaキャンペーンで使用されたHEADLACEバックドアのコードおよびトレードクラフトの大きな重複、一貫したインフラパターン、そして既知のロシア情報収集優先事項に沿った標的設定に基づいています。

HOOKEDGEはHEADLACEの中核となるアーキテクチャを共有しており、正規のWebhookサービスを悪用してコマンド＆コントロール（C2）、ペイロードのステージング、データ漏洩を行うことで、悪意のある活動を正規のネットワークトラフィックに紛れ込ませ、専用インフラストラクチャの運用上のオーバーヘッドを削減します。インプラントは、2025 年 9 月から 2026 年 4 月にかけて継続的に改良されており、おそらく自動化されたサンドボックス環境を回避し、 webhook[.]siteの無料ティア API 制限の削減に適応していると考えられます。

BlueDeltaは、欧州の政府機関や外交機関を標的とした情報収集を支援するため、軽量で容易に適用可能な初期アクセスツールへの投資を継続している。同グループは新たな能力を導入するのではなく、既存の技術を着実に磨き上げ、確立されたツールを進化する防御策やインフラの制約に適応させることで、作戦上の回復力を重視してきた。

組織は優先順位を付ける。インターネット発信文書からのマクロ実行をブロックし、スケジュールされたタスクの乱用、ヘッドレスMicrosoft Edge実行、ウェブフックサービスへのアウトバウンド接続に対する検知カバーを実装すべきです。

主な調査結果

2025年9月下旬から2026年4月初旬にかけて、BlueDeltaはルーマニア、スペイン、トルコの防衛製造および外交組織に対する一連の初期アクセスキャンペーンを実施しました。BlueDeltaはマクロが有効化されたWord文書を利用してHOOKEDGEを配備した。HOOKEDGEは軽量のバッチスクリプト型バックドアで、BlueDeltaが以前に開発したインプラントであるHEADLACEとコードや手法に多くの共通点がある。
これらのキャンペーンは外交をテーマにしたものと一般的なルアーの両方を用いていました。初期の活動はスペイン政府の資料を模倣し、後のキャンペーンでは一般的なマクロイネーブルメント誘惑を採用しました。外交上の誘い文句の一つは、スペインとモルドバの当局者間の会談直後に作られたもので、これは2025年9月に予定されているモルドバの議会選挙を前に、ロシアに関連する情報を収集しようとする試みを反映している可能性がある。
BlueDeltaは2025年9月から2026年4月にかけてHOOKEDGEの改良を続け、マルウェアの中核機能とインフラストラクチャモデルを維持しながら、誘引文書、実行方法、ビーコン間隔に変更を加えた。
情報価値が高いと判断された標的に対しては、BlueDeltaはビーコン発信間隔を大幅に短縮した第2段階のHOOKEDGEペイロードを展開した。これにより、オペレーターはより迅速にタスク処理とフォローアップ活動を行うことが可能になり、同時に初期アクセスに使用されるWebhookエンドポイントが枯渇するのを防ぐことができた。
BlueDeltaはこれまで、C2、ペイロードステージング、データ流出を容易にするために正規のインターネットサービス（LIS）を優先的に使用してきました。無料ティアはこれらのキャンペーン全体でグループ限定の選択肢として機能しています。

背景

BlueDeltaは、ロシア連邦軍参謀本部総局（GRU）が支援するロシア政府系の脅威グループであり、APT28、Fancy Bear、Forest Blizzardとして公に追跡されている活動と重複している。同グループは10年以上にわたり、スパイ活動を目的としたサイバー作戦を実施しており、ロシアの情報機関の要求を支援するため、政府機関、外交機関、国防機関、政策関連機関を一貫して標的としてきた。

BlueDeltaはスピアフィッシング、認証情報盗難、軽量カスタムツールによる初期アクセス権取得の実績がよく知られています。過去のキャンペーンでは悪意のある文書、Windowsのバッチスクリプト、リビング・オフ・ザ・ランド TTPs (LotL)が頻繁に利用され、LISや無料ウェブインフラをC2、ペイロードステージング、データ流出に悪用していました。 Insikt Group、BlueDeltaが2023年に使用したHEADLACEマルウェアファミリーの利用を記録しました。HEADLACEは、侵入初期段階で使われ、ヨーロッパ全域のキャンペーン組織を対象とした初期アクセスのペイロードやコマンドを実行するために使われました。

本報告書に詳述されている活動は、それらの作戦の直接的な継続である。HOOKEDGEバックドアはHEADLACEとコードや手法において多くの共通点があり、BlueDeltaが軽量で容易に改変でき、運用上の要件に迅速に対応できるマルウェアを引き続き好んでいることを示している。Lab52も「オペレーション・マクロメイズ」という名称で同様の活動を公に報告している。

脅威分析

誘引文書とターゲティング

BlueDeltaがこれらのキャンペーンで選んだルアー文書は、ヨーロッパの外交関係者を意図的に標的にしており、ロシアの情報機関の要件と一致する収集優先順位を明らかにしています。 2025年9月下旬から2026年4月初旬にかけて、 Insikt Group 複数の悪意あるマクロ対応Word文書を特定しました。これらは複数のヨーロッパ諸国の政府または外交関係者を標的とした初期アクセスキャンペーンで使用された可能性があります。

最初に確認された誘引物は、2025年9月26日に初めて確認されたもので、図1および図2に示すように、スペイン大統領府・司法・議会関係省の2025年9月15日の会議議題であるとされていた。文書の信憑性は確認できなかったものの、BlueDeltaは過去に、公開されている資料を含む、本物の政府文書をフィッシング詐欺の餌として使用してきた。

2025年9月18日付の、大統領府・司法・議会関係省によるスペイン政府会議の議題が記載されたMicrosoft Word文書のスクリーンショット。

図1: スペイン大統領府・司法・関係省とコルテス文書のスクリーンショット(情報源: Recorded Future)

2025年9月18日のスペイン大統領府・司法・外務省の議会会議議題を機械翻訳した英語版が、フィッシング詐欺の餌として利用された。

図 2: スペイン大統領府・司法・関係省のコルテス文書(情報源: Recorded Future)の機械翻訳

この文書は、同省が2025年9月8日にモルドバ当局者と会談した直後に作成された。このおとり文書のタイミングは、モルドバの2025年9月の議会選挙を前に、ロシアにとって情報上重要な、正当な外交活動を悪用しようとする試みを示唆している可能性がある。

2025年10月から12月にかけて、BlueDeltaは外交的な誘い文句の使用をやめ、より一般的なソーシャルエンジニアリングの手法を採用し、図3および図4に示すように、受信者にジャンクデータまたは「コンテンツを有効にする」をクリックして文書を表示するように指示するプロンプトを提示しました。

マクロ実行後にユーザーが確認するのを妨害するために、偽のMicrosoft Wordエラーダイアログボックスを表示する悪意のあるWord文書のスクリーンショット。

図 3: HOOKEDGEルアー文書のスクリーンショット(情報源: Recorded Future)

ユーザーを騙すために使用される、「コンテンツの有効化」プロンプトと偽のMicrosoft Wordエラーダイアログボックスを表示する悪意のあるWord文書のスクリーンショット。

図 4: HOOKEDGEルアー文書のスクリーンショット(情報源: Recorded Future)

マクロを有効にすると、偽のMicrosoft Wordエラーメッセージが表示され、文書のさらなる精査を妨げるための TTPs でした。ターゲットを絞ったルアーコンテンツから離れたこの変化は、BlueDeltaがこの期間中にターゲットを拡大したことを示唆している可能性がある。これらのキャンペーンはおそらくルーマニアの施設を標的にしていた。

2026年4月初旬、 Insikt Group はネットワークテレメトリに基づくトルコの組織を標的にした追加のHOOKEDGEバリアントを特定しました。

Insikt Group は、これらのキャンペーンにおけるターゲティングパターンが、特にモルドバの政治問題やNATOに隣接する欧州の欧州統治に関与または隣接する者に対するロシアの積極的な情報収集を反映していると、中程度の自信で評価しています。

HOOKEDGE デリバリーおよび実行

BlueDeltaは、マクロが有効化されたMicrosoft Word文書（おそらくスピアフィッシングの添付ファイルとして配信されたもの）をHOOKEDGEの主要な配信メカニズムとして使用し、被害者の操作によって実行をトリガーし、フォレンジック痕跡を最小限に抑えつつ永続性を確立するように設計された多段階インストーラチェーンを使用していた。図5に、高レベルの実行フローを示します。

HOOKEDGEマルウェアの感染ライフサイクルを示すフローチャート。文書の配布から、マクロが有効化されたWord文書の起動へと流れが進み、同時にカナリアWebhookシグナル、ユーザー向けの偽のエラーメッセージ、およびインストーラーの実行がトリガーされます。このプロセスは、永続化のために30分ごとに実行されるスケジュールタスクの作成で完了します。

図 5: 悪意のあるWord文書がHOOKEDGEをデプロイする実行フロー(情報源: Recorded Future)

受信者がルアー文書を開いてマクロを有効にすると、文書のAutoOpen()サブルーチンがすぐに実行され、 %userprofile%ディレクトリに6つのファイルが書き込まれ、表1に示すようにHOOKEDGEインストーラチェーンが起動されます。ディスクにドロップされたファイルは、配信、実行、永続化、およびデータ漏洩の段階において、それぞれ異なる役割を果たします。

ファイル名

役割

cf25f91c-0a20-4339-834f-02f73e8bc75e.bat

HOOKEDGE

cf25f91c-0a20-4339-834f-02f73e8bc75e.vbs

HOOKEDGEランチャー

cf25f91c-0a20-4339-834f-02f73e8bc75e.cmd

インストーラ

5744c020-a8d9-4755-abfb-cde6ccd450af.vbs

インストーラーランチャー

cf25f91c-0a20-4339-834f-02f73e8bc75e.htm

体外排出段階（ヘッダー）

cf25f91c-0a20-4339-834f-02f73e8bc75e.xhtml

体外排出段階（フッター）

表1: 悪意のあるWord文書によって落とされたファイルとHOOKEDGE感染連鎖における役割(情報源: Recorded Future)

インストーラーランチャーが実行されると、30分ごとに実行されるスケジュールタスクが作成され、HOOKEDGEペイロードを引数としてHOOKEDGEランチャーが起動されます。インストーラーはその後、自身、インストーラーランチャー、およびタスク定義ファイルを削除し、%userprofile% ディレクトリから主要なインストール成果物を削除します。インストーラーランチャーを除くすべてのドロップファイルは、ステージング/タスク処理ウェブフックに関連付けられたグローバル一意識別子（GUID）を使用して命名されますが、インストーラーランチャーはデータ漏洩ウェブフックに関連付けられたGUIDを使用します。

悪意のある文書には、リモートのウェブフック URL を参照する隠し画像も含まれています: hxxp://webhook[.]site/62114596-33f5-47fb-9012-0223529e5a13/docopened[.]jpg 。これは文書開封の「カナリア」として機能し、被害者が誘い文句を開封した際にBlueDeltaのオペレーターに警告を発する。後のバージョンでは、ファイル名としてdocopened.jpgの代わりにdoc.jpgが使用されました。Insikt Group また、ファイル名 mailopened.jpgを使ったウェブフックを特定しており、BlueDeltaも受信者がフィッシングメールを開封した際に同様のカナリアメカニズムを用いて監視し、ペイロード実行前にキャンペーンの成功をオペレーターに可視性で把握していた可能性が高いと示唆されています。

Insikt Group 、設置チェーンの自己削除行動は、初期情報漏洩/侵害の法医学的フットプリントを減らし、インシデント後の調査を複雑化させる意図的な努力を反映していると評価しています。

HOOKEDGEバックドア分析

HOOKEDGEは軽量なWindowsバッチバックドアであり、ステージングWebhookから任意の.cmdペイロードを取得し、感染したホスト上で実行し、結果として得られた出力を外部に漏洩させることで、リモートコマンド実行を可能にします。簡略化された実行フローを図6に示す。

簡略化されたHOOKEDGEの実行フローを示すフローチャート。このプロセスは、30分ごとにHOOKEDGEバックドアを起動するスケジュールされたタスクから始まります。HOOKEDGEは、ステージングWebhookからコマンドペイロードを取得し、コマンドを実行し、最後にコマンド出力を含むHTMLファイルを使用して、データ漏洩Webhookに対してHTTP POSTリクエストを実行します。

図 6: 簡易HOOKEDGE実行フロー(情報源: Recorded Future)

HOOKEDGEの本質はポーリングループとして動作します。スケジュールされたタスクが実行されるたびに、バックドアはステージングWebhookからコマンドペイロードを取得し、それを実行し、出力を別のデータ漏洩Webhookに送信します。この2つのWebhookによるアーキテクチャは、タスク処理とデータ漏洩を分離します。各実行サイクルでは、以下のシーケンスが実行されます。

%userprofile%\Downloads\ ディレクトリから残存ファイル（.75e、.tmp、.crdownload ファイルを含む）を削除します。.75e 拡張子は、ステージング Webhook URL で使用される GUID の最後の 3 文字から派生しています。
ステージングWebhook URLにMicrosoft Edgeリクエストを発行し、JavaScriptを含むHTMLを返します。このJavaScriptは、.75e個のファイルを%userprofile%\Downloads\ディレクトリに自動的にダウンロードします。
取得したすべての.75eファイルを.cmdファイルに連結し、それを実行して、出力を%userprofile%\の一時ファイルに保存します。
インストール中にドロップされた、事前に準備された .htm ヘッダーファイルと .xhtml フッターファイルの間にコマンド出力を挟むことで、HTML 流出ファイルを組み立てます。
2つ目のEdgeインスタンスを起動して組み立てられたHTMLファイルを開き、読み込み時にフォームを自動送信し、コマンド出力をデータ漏洩WebhookにHTTP POSTリクエストとして送信します。
サイクル中に生成されたすべての一時ファイルを削除し、ウィンドウタイトルがHOOKEDGEタスク識別子と一致するすべてのプロセスを終了します。

HOOKEDGEの注目すべき点は、タスクの実行とデータ漏洩の両方にmsedge.exeを使用していることです。このマルウェアは、悪用されやすいLotLバイナリ（LOLBin）やカスタムバイナリではなく、正規のウェブブラウザを介してネットワークトラフィックを生成することで、通常の企業ブラウジング活動に紛れ込ませて通信を行います。

HOOKEDGEのコードと構造設計は、 BlueDeltaが過去のキャンペーンで使用したバックドアであるHEADLACEと大きく重なり合っています。HOOKEDGEとHEADLACEはどちらも、主要なスクリプト言語としてWindowsバッチを使用し、C2通信とデータ漏洩のためにLISを悪用し、C2通信には隠しブラウザインスタンスを利用している。さらに、HOOKEDGEによって取得された第2段階のペイロードは、HEADLACE キャンペーンで以前に観察されたペイロードとJavaScriptコードを共有しており、同一の変数名、プロパティ、構造、そして自動ファイルダウンロードのためのbase64エンコーディング方式を使用しています。 Insikt Group は、HOOKEDGEがHEADLACEの直接的な進化的後継であり、同じオペレーターによって開発・維持されていると中程度の自信を持って評価しています。

第2段階の展開と階層化されたタスク処理

BlueDeltaはHOOKEDGEを単独の初期アクセスツールとしてだけでなく、より集中的で応答性の高いタスク処理に設定した追加のHOOKEDGEペイロードの配信手段としても利用しており、初期アクセスインフラを用いて被害者のトリアージや、より情報価値が高いと判断された者への収集をエスカレーションする階層的な運用モデルを示しています。

第2段階のインストーラーは、誘引文書によって最初にインストールされたインストーラーと非常によく似ています。これは新しいHOOKEDGEペイロードとランチャーをドロップし、新しいスケジュールされたタスクを介して永続性を確立します。主な違いは、ビーコン送信間隔とC2サーバーのURLです。第1段階のスケジュールされたタスクは30分ごとに実行されますが、第2段階のスケジュールされたタスクは最短で5分ごとに実行されます。この短い時間間隔により、オペレーターはコマンドを出したり出力を受け取ったりするのがはるかに速く、初期のインプラントのような遅いポーリングのリズムではなく、情報漏洩/侵害後のインタラクティブな活動を支援します。

2段階アーキテクチャはBlueDeltaのインフラ制約の一つを緩和するのにも役立っています。ウェブフック[.]サイトの無料プランでは、エンドポイントごとに最大100件のリクエストに制限されているため、30分間のビーコン送信間隔では、特定のエンドポイントのリクエスト割り当てが約2～3日で使い果たされてしまうことになります。BlueDeltaは、優先度の高い被害者を専用の第2段階Webhookエンドポイントに移動させることで、初期アクセスインフラストラクチャとアクティブな収集インフラストラクチャを効果的に分離し、オペレーターによる継続的なタスク処理と収集によって、初期アクセスWebhookエンドポイントの限られたリクエストクォータが早期に枯渇しないようにします。

Insikt Groupは、同じ被害者に2つ目のHOOKEDGEペイロードを展開することが意図的なトリアージメカニズムであると中程度の自信を持って評価しています。第1段階のインプラントは、広範囲にわたる初期アクセスを確立します。オペレーターは、文書開封のカナリア要求や、ステージングまたはデータ流出のWebhookエンドポイントとの通信成功といったネットワークテレメトリを使用して、より集中的なタスクを実行する必要のある被害者を特定する可能性が高いです。この運用パターンは、ブルーデルタが長年にわたり採用してきた、軽量で低騒音の初期アクセスツールを好み、選択的でインテリジェンス主導型の後続活動をサポートするという方針と一致している。

BlueDeltaはレポート期間を通じてHOOKEDGEとその配信を繰り返し改良し、ルアー文書、実行方法、フィッシングテレメトリ、ビーコン間隔を修正しつつ、マルウェアのコアアーキテクチャを維持しました。観測された様々な変異体において、このグループは外交的なテーマの誘い文句から一般的なマクロ有効化の誘い文句へと移行し、Microsoft Edgeの実行方法をヘッドレスモードから非表示ウィンドウモードに変更し、メールを開くというカナリアを導入した。主な変更点の概要は、下記の表2に示されています。

最初の発見日

主な変更点

2025-09-26

外交的誘惑（スペイン外務省）

2025-10-07

汎用ルアー；20分間隔のビーコン発信

2025-12-04

汎用ルアーに若干の変更を加えました。ヘッドレスではなく、エッジに隠れたウィンドウを配置しました。

2026-01-19

汎用ルアーの軽微な変更

2026-01-20

mailopened.jpg ネットワークテレメトリでカナリアが検出されました

2026-04-08

汎用ルアーに軽微な変更を加えました。カナリアのファイル名を変更しました。 doc.jpg

2026-06-29

VBAの難読化に軽微な変更を加え、ドキュメントオープン時のカナリアを削除しました。

表2: HOOKEDGE キャンペーンの時間経過による洗練(情報源: Recorded Future)

最も重要な運用上の変更点の1つは、第1段階のビーコン送信間隔を30分から61分に延長したことである。Insikt Group は、この調整が通常最大60分間実行を監視する自動化サンドボックス環境の効果を低下させ、同時にwebhookによって課される有限リクエストクォータの消費を遅らせた可能性が高いと評価しています [.]サイト、グループのインフラストラクチャの運用寿命
延長する。2026年1月のキャンペーンで /mailopened.jpg カナリアが導入されたことで、BlueDeltaのフィッシングライフサイクルへの可視性が拡大し、オペレーターはメール開封、文書開封、マクロ実行の成功を区別できるようになりました。このレベルのフィッシング配信追跡はフィードバックの手段として非常に有用であり、BlueDeltaはキャンペーンの各段階の成功を評価できます。

2026年7月のキャンペーンでは、BlueDeltaはHOOKEDGEサンプルから、文書開封時に被害者のIPアドレスをキャプチャするために一貫して使われていた機能である文書オープンカナリアを削除しました。この変更の背後にある運用上の動機は不明ですが、ネットワークベースの情報漏洩/侵害の指標を減らす意図を反映している可能性があります。

悪意のあるインフラストラクチャ

BlueDeltaは引き続きwebhook[.]siteに依存している。本レポートで記録されたキャンペーン全体におけるC2、ペイロードステージング、データ流出に関するもの。これは、専用インフラが提供する制御や柔軟性よりも、検知回避や運用の簡潔さに焦点を当てた意図的なインフラ選択を示しています。これは、ネットワークベースの防御制御に対して一貫して効果的であることが証明されている。

webhook[.]site は、ユーザーが HTTP リクエストを受信して検査するための固有の HTTPS エンドポイントを作成できる、正当で公開されているサービスです。HOOKEDGEの運用において、BlueDeltaは個別のWebhookエンドポイントを異なる機能に使用します。具体的には、文書開封およびメール開封のカナリア、コマンドおよびペイロードのステージング、そしてデータ漏洩の捕捉などです。各機能には別々のエンドポイントが割り当てられ、エンドポイントのユニバーサル・ユニーク・アイデンティズ(UUID)はインストール時にドロップされたファイルのファイル名として再利用されます。この設計により、インフラがインプラントのファイル命名方式に直接結びつき、キャンペーンコンポーネントの運営管理が簡素化されます。

HOOKEDGEのネットワーク通信は、正当なウェブ活動に溶け込むように設計されています。感染したホストからの発信接続は、正規のHTTPSサービスに誘導され、WebブラウザがHTTPクライアントとして機能します。これにより、防御側が把握できる異常な特徴は、特定のWebhook URLと実行コンテキスト以外には比較的少ないものとなる。この種のトラフィックは、ドメインやIP評判、静的ブロックリスト、または信頼できるサービスを除外するTLS検査ポリシーに依存する検知アプローチに抵抗力があります。

観察されたキャンペーン全体で、BlueDeltaは ウェブフックを管理していました[.]サイトNordVPNのIPアドレスからのエンドポイント。インフラ管理に商用仮想プライベートネットワーク(VPN)サービスを使用することで、直接オペレーターIPの可視性が排除され、帰属をさらに複雑にしており、以前のキャンペーンで見られたBlueDeltaの広範な運用セキュリティ慣行と整合しています。 C2（コマンド＆コントロール）用の正規のウェブサービスと管理用の商用VPNを組み合わせることで、従来のネットワーク監視だけでは、トラフィックもその発信元も信頼できる帰属シグナルとして提供されなくなる。

webhook[.]siteのリクエスト制限1つのエンドポイントにつき最大100件のリクエストを許可する無料プランは、BlueDeltaの運用ペースに影響を与えた可能性が高い。Insikt Group は、これらの制約がHOOKEDGEのビーコン間隔延長と、より優先度の高いターゲットに対して専用の第2段階ウェブフックエンドポイントの使用を促したと評価しています。これらの制限にもかかわらず、BlueDelta は引き続きwebhook[.]siteに依存しました。これは、正規のウェブサービスを利用することによる運用上のメリットが、限られたリクエスト数という制約を上回ることを示唆している。新しいエンドポイントを迅速に無償でプロビジョニングできる機能は、これらの制約の影響をさらに軽減した。

軽減策

Recorded Future Threat Intelligenceの利用:Recorded Future顧客は、Webhookを含むBlueDeltaインフラに関連する関連指標Intelligence Card、リスクリスト、関連指標を監視すべきです[.]サイト URL、マルウェアのサンプル、フィッシング詐欺の誘い文句。組織は Recorded Future インテリジェンスオペレーションプラットフォームを活用し、新たに観察されたBlueDelta関連インフラを特定し、関連活動を含む優先順位を付ける調査を行うことができます。
Microsoft Officeのマクロセキュリティを強化する：運用上可能な場合は、インターネットから入手したドキュメントのマクロを無効にし、Microsoftが推奨するマクロブロックポリシーを適用する。組織は、署名されていないVBAマクロの実行を制限すべきである。
フィッシング対策認証の実装：電子メール、VPN、その他の外部アクセス可能なサービスに対して、FIDO2セキュリティキーや証明書ベースの認証など、フィッシング対策に有効な多要素認証（MFA）を導入します。HOOKEDGEは初期アクセスおよび情報漏洩/侵害後の機能を提供しますが、BlueDeltaはこれまで認証情報盗難を利用してターゲット環境内でのアクセス拡大に頼ってきました。
スケジュールされたタスクの悪用を監視する:ユーザーが書き込み可能なディレクトリから、 wscript.exe 、 cscript.exe 、 cmd.exe 、 powershell.exeなどのスクリプト、バッチファイル、またはインタープリタを実行するスケジュールされたタスクの作成を検出して調査します。HOOKEDGEは、観測されたすべての変異体間でデータを永続化するために、スケジュールされたタスクに依存しています。
不審なブラウザ自動化の監視:ヘッドレスモードでの Microsoft Edge の異常な実行を調査します。特に、 --headless=newなどのコマンドライン引数、ローカル HTML ファイル、またはデータ URL を使用して起動されたインスタンスを調査します。これらの動作はほとんどの企業環境では一般的ではなく、HOOKEDGEはタスクの実行やデータ漏洩のためにこれらを利用していました。
正規のファイル共有サービスおよびWebhookサービスへの送信トラフィックを検査する：組織は、webhook[.]siteなどのサービスへの送信接続をレビューする必要があります。その他、Webhook、ファイルホスティング、コンテンツ配信プラットフォームなど。会社が使用していないものは、完全にブロックすべきです。これらのサービスは正当ですが、指揮統制、ペイロードステージング、データ流出などで脅威アクターによってますます悪用されています。
インシデントレスポンス手順を開発・実行する: フィッシングの調査手順を確立し、情報漏洩 / 侵害、疑わしいスケジュールタスクの作成を行う。組織は、セキュリティチームが情報漏洩/侵害ホストを迅速に特定し、フォレンジック証拠を収集し、感染を封じ込めてから後続のマルウェアが展開されるようにすべきです。

今後の展望

BlueDeltaはロシアの情報収集を支援するため、欧州政府や外交機関に対する初期アクセスキャンペーンを継続する可能性が高い。欧州の統治、NATO関連事項、旧ソ連諸国との外交的関与が依然として戦略的に重要であることを考えると、この活動を推進する情報ニーズは近い将来減少する可能性は低い。

HOOKEDGEは2025年9月に初めて発見されて以来、BlueDeltaによって継続的に改良されてきた。脅威グループは、レスポンスにおけるHOOKEDGEの配信メカニズム、ビーコン間隔、インフラ管理の手法を変更し、防御環境の変化やwebhookの運用制約に対応しています [.]サイト。さらなる改善や改良が見込まれており、 Insikt Group は今後の変更が運用上の動機付けと検知回避およびインフラの強靭性に向けたものになると評価しています。

BlueDeltaは十分な検知対象を得ると定期的に初期アクセスツールを廃止してきた歴史を踏まえ、HOOKEDGEは最終的に取って代わられるでしょう。 HOOKEDGEの後継となるツールは、おそらく実績のある攻撃手法の要素、すなわちLOLBinsの使用、C2目的での正規のウェブサービスの悪用、LotLの実行といった要素を引き継ぐだろう。JavaScriptベースのペイロード配信とGUID形式のファイル命名規則は、HEADLACEとHOOKEDGEの両方で一貫して見られ、これらのパターンは将来のツールへの継続性を確認するために監視する価値がある。

本レポートで記録されたすべてのキャンペーンにおいて、BlueDeltaは完全にwebhook[.]に依存していました[.]サイトのコマンド＆コントロール、ペイロードステージング、データ漏洩のための無料プラン。Insikt Group は Webhook[.]の妨害増加を評価しています。サイト、悪用対策や防御的検知を通じて、専用の攻撃者管理インフラへの移行よりも、他の正当なウェブサービスへの移行を促す可能性が高いです。この評価は、グループが以前にmocky[.]ioからwebhook[.]siteに移行したことによって裏付けられています。HEADLACEキャンペーンでは、自ら運営するよりも正当なインフラを適応させることを好む姿勢を示しました。

付録A：侵害を示す指標

URLs:
hxxp://webhook[.]site/1e72b758-79e4-4c1c-90ed-7a8dc118f105
hxxp://webhook[.]site/62114596-33f5-47fb-9012-0223529e5a13/docopened[.]jpg
hxxp://webhook[.]site/68d68fc7-aa94-4f2d-a727-d18fb40b0d69/docopened[.]jpg
hxxp://webhook[.]site/c1d8ba4a-f044-4454-8b1c-b6866518f92c/doc[.]jpg
hxxp://webhook[.]site/c29905ab-e5fa-446c-8958-4eab15d8fb80/docopened[.]jpg
hxxp://webhook[.]site/c29905ab-e5fa-446c-8958-4eab15d8fb80/mailopened[.]jpg
hxxp://webhook[.]site/c2e1be16-401b-4f60-8a0f-276b30417fda/docopened[.]jpg
hxxp://webhook[.]site/d63049e3-1cbe-474b-9005-237517af53a7/docopened.jpg
hxxp://webhook[.]site/d63049e3-1cbe-474b-9005-237517af53a7/mailopened[.]jpg
hxxps://webhook[.]site/01d6a811-ae9a-4ecb-be3f-610075556304
hxxps://webhook[.]site/272f1315-14d7-458c-a4ca-e2df423490b4
hxxps://webhook[.]site/34f908b6-dd89-4600-b413-a29cd5e37a0b
hxxps://webhook[.]site/36c9aecd-19f5-4564-a354-7708d947da8e
hxxps://webhook[.]site/4e6cf717-e4d6-4f40-9f2d-134196fa5e7d
hxxps://webhook[.]site/4e81a907-cc30-45c0-8bbd-5248e9f6dacd
hxxps://webhook[.]site/4ef62d6a-90c0-4a70-8dd2-468879c70fd6
hxxps://webhook[.]site/5744c020-a8d9-4755-abfb-cde6ccd450af
hxxps://webhook[.]site/5dbed3be-f1c9-41e5-b5d5-e961d08b5fba
hxxps://webhook[.]site/655a413e-4a66-4987-8f5b-f5cbfe34cdd6
hxxps://webhook[.]site/68ff1679-974b-4d15-9ce0-799892c63f04
hxxps://webhook[.]site/752c57b9-20d1-4990-a909-fd212ab71dcd
hxxps://webhook[.]site/81f3d140-eb6e-4d72-a6ca-e6e952c3d9c2
hxxps://webhook[.]site/82911ae6-ea27-4996-a664-2322e89da9ae
hxxps://webhook[.]site/9f2837e2-8321-46a5-aee5-ccdda349f864
hxxps://webhook[.]site/a3f4e990-0b2a-4f6a-a02e-c573005de3ee
hxxps://webhook[.]site/a72d8905-b15f-4e95-9a8f-5e4bb7dc9b3d
hxxps://webhook[.]site/bbdbf60c-8593-4660-9620-d3c0de24a8ab
hxxps://webhook[.]site/c24a31e4-691e-4a7b-96af-037ae735d358
hxxps://webhook[.]site/cf25f91c-0a20-4339-834f-02f73e8bc75e
hxxps://webhook[.]site/d993e113-a672-48aa-a382-64c5aaac56eb

Hashes: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