APT28 : le backdoor HOOKEDGE cible la diplomatie européenne

Un backdoor discret au service de l'espionnage russe

Recorded Future, la firme de renseignement sur les menaces acquise par Mastercard, a publié le 28 août 2026 un rapport détaillé sur une campagne d'espionnage attribuée avec un degré de confiance modéré au groupe APT28, également connu sous les noms Fancy Bear et Forest Blizzard. Suivi sous le pseudonyme BlueDelta par les analystes de Recorded Future, ce groupe est historiquement associé au renseignement militaire russe (GRU). La campagne, intitulée HOOKEDGE du nom de l'implant déployé, a ciblé des organisations gouvernementales et diplomatiques en Roumanie, en Espagne et en Turquie entre la fin septembre 2025 et début avril 2026.

HOOKEDGE est techniquement un script batch Windows — un format délibérément minimaliste qui permet d'éviter les signatures de détection classiques associées aux malwares compilés (exécutables PE, DLL, etc.). L'implant partage une architecture et des techniques très proches de HEADLACE, un précédent outil d'APT28 documenté lors de campagnes antérieures ciblant également des entités européennes. La continuité entre les deux outils confirme l'évolution méthodique du groupe, qui adapte et affine ses implants plutôt que d'en développer de nouveaux à partir de zéro, optimisant ainsi ses ressources tout en maintenant une continuité opérationnelle.

Le vecteur d'infection initial repose sur des documents Microsoft Word à macros activées, envoyés via des courriels de spear-phishing soigneusement construits. Les leurres adoptent un habillage diplomatique : les premières versions de la campagne, actives en septembre et octobre 2025, imitaient des documents officiels du gouvernement espagnol. À partir de novembre 2025, les attaquants ont évolué vers une approche plus ciblée, tirant parti d'événements d'actualité géopolitique pour rendre leurs leurres plus crédibles. Un document a été créé peu après une rencontre entre des officiels espagnols et moldaves, suggérant que les opérateurs suivaient l'agenda diplomatique européen pour affiner leurs opérations en temps quasi-réel.

La mécanique de commande et contrôle (C2) de HOOKEDGE est particulièrement ingénieuse. Plutôt que de s'appuyer sur une infrastructure dédiée — facilement identifiable et bloquable par les équipes sécurité — BlueDelta a exploité webhook.site, un service légitime destiné aux développeurs pour tester des requêtes HTTP. Le backdoor déclenche une instance Microsoft Edge en mode headless (sans interface graphique visible) ou dans une fenêtre cachée, et formule des requêtes HTTP vers un endpoint webhook.site contrôlé par les attaquants. Cette méthode permet au trafic malveillant de se fondre dans les communications réseau légitimes : edge.exe générant des requêtes HTTP est difficile à distinguer d'une navigation ordinaire sans analyse comportementale approfondie.

Une fois la connexion C2 établie, l'opérateur peut envoyer des commandes à l'implant et en recevoir les données exfiltrées. Après chaque cycle de transmission, HOOKEDGE efface systématiquement tous les fichiers temporaires générés et termine tout processus dont le titre de fenêtre correspond à l'identifiant de tâche de l'implant. Cette capacité d'autoépuration réduit significativement les traces forensiques laissées sur le système compromis. Pour les cibles jugées à haute valeur, BlueDelta a déployé une version secondaire de HOOKEDGE avec un intervalle de balise de cinq minutes, permettant un contrôle quasi-temps-réel de la machine compromise.

L'implant a connu une évolution continue tout au long de la campagne, entre septembre 2025 et avril 2026. Les modifications apportées visaient deux objectifs principaux : contourner les environnements sandbox automatisés utilisés pour l'analyse dynamique des menaces, et s'adapter aux limites d'utilisation de l'API gratuite imposées par webhook.site. Cette capacité d'adaptation rapide témoigne de la maturité opérationnelle du groupe et de la présence d'ingénieurs logiciels dédiés au maintien et à l'amélioration des outils d'espionnage en fonction des défenses rencontrées sur le terrain.

Le choix des cibles n'est pas anodin d'un point de vue géopolitique. La Roumanie est un membre clé de l'OTAN hébergeant des installations militaires de l'Alliance et jouant un rôle croissant dans le soutien à l'Ukraine depuis 2022. L'Espagne accueille plusieurs installations OTAN et assume des responsabilités de commandement au sein de la structure intégrée de l'Alliance. La Turquie occupe quant à elle une position stratégique sensible, à la croisée des intérêts OTAN et des relations complexes avec Moscou. Le ciblage d'entités diplomatiques dans ces trois pays reflète un objectif de collecte de renseignement géopolitique, vraisemblablement centré sur les positions de ces États vis-à-vis du conflit ukrainien et des décisions internes de l'Alliance atlantique.

La publication du rapport de Recorded Future survient dans un contexte de recrudescence des opérations offensives cyber russes contre les pays membres et alliés de l'OTAN. APT28 est l'un des groupes les plus actifs et les mieux documentés du paysage des menaces étatiques, avec des opérations documentées depuis plus d'une décennie ciblant des gouvernements, des partis politiques, des médias et des infrastructures critiques à travers le monde. La campagne HOOKEDGE s'inscrit dans la continuité d'une stratégie russe d'espionnage systématique des chancelleries européennes.

Pourquoi cette campagne redéfinit les standards de détection

L'utilisation de webhook.site comme infrastructure C2 représente une évolution inquiétante dans les tactiques des groupes APT. Les services légitimes détournés à des fins malveillantes sont de plus en plus prisés par les attaquants sophistiqués précisément parce qu'ils contournent efficacement les listes de blocage IP et les règles de filtrage DNS classiques. Webhook.site, Pipedream, Discord, Slack et d'autres plateformes similaires ont tous été observés dans des campagnes d'attaques avancées ces dernières années. Cette tendance force les équipes de sécurité à adopter des approches de détection basées sur le comportement plutôt que sur les indicateurs de compromission statiques.

Le recours à Microsoft Edge comme vecteur de communication ajoute une couche de complexité supplémentaire à la détection. Dans un environnement d'entreprise standard, edge.exe génère régulièrement des requêtes HTTP vers l'extérieur, rendant son activité très difficile à distinguer d'une utilisation légitime sans corrélation contextuelle. Seule une analyse comportementale avancée — notamment la corrélation entre l'heure de lancement du processus, l'absence d'interaction utilisateur associée et la destination précise des requêtes — permet d'identifier l'activité malveillante. Les outils EDR modernes sont capables de détecter ces anomalies, à condition d'être correctement configurés et de disposer d'une visibilité complète sur les processus système.

Pour les organisations gouvernementales et diplomatiques françaises et européennes, cet incident renforce la pertinence des recommandations de l'ANSSI et de l'ENISA concernant la segmentation réseau, la surveillance des processus système et la restriction des macros Office. La directive NIS2, dont la transposition nationale était attendue des États membres depuis octobre 2024, impose aux entités essentielles et importantes des obligations accrues en matière de détection d'incidents et de notification. Une campagne d'espionnage de cette nature, ciblant des entités gouvernementales dans trois pays membres de l'UE pendant sept mois, illustre concrètement les menaces auxquelles la directive cherche à répondre.

La découverte tardive de la campagne — révélée publiquement cinq à neuf mois après les premières infections — souligne le défi permanent du temps de présence (dwell time) pour les intrusions APT discrètes. Contrairement au ransomware qui se manifeste par des symptômes visibles et immédiats, les backdoors d'espionnage comme HOOKEDGE sont conçus pour opérer en silence pendant de longues périodes, exfiltrant des données stratégiques sans perturber les opérations normales et sans déclencher les alertes volumétriques habituelles. La threat hunting proactive reste le meilleur levier pour réduire ce dwell time.

Ce qu'il faut retenir

• APT28 exploite HOOKEDGE, un backdoor batch minimaliste utilisant Microsoft Edge headless et webhook.site pour dissimuler ses communications C2 dans le trafic légitime.
• Les organisations ciblées doivent auditer les journaux d'exécution d'Edge, surveiller les appels sortants vers webhook.site et désactiver les macros Office non signées numériquement.
• Sept mois de présence avant détection rappellent l'urgence d'une threat hunting proactive au-delà des alertes automatisées classiques.