APT28 infiltre un chantier naval OTAN avec le backdoor HOOKEDGE

Un backdoor inédit au cœur des industries de défense européennes

APT28, également connu sous les noms Fancy Bear, Forest Blizzard ou Strontium, a mené entre juillet et septembre 2026 une campagne d'espionnage ciblant des acteurs stratégiques de l'industrie de défense en Europe. L'opération, dont les détails techniques ont été rendus publics le 20 octobre 2026 par des chercheurs en sécurité, a permis au groupe russe de compromettre trois organisations distinctes au sein de deux États membres de l'OTAN non nommés publiquement.

Les cibles incluaient un constructeur naval militaire, un fabricant de moteurs d'avions de combat et une agence nationale des forces de l'ordre. La diversité des secteurs touchés révèle une stratégie délibérée d'APT28 visant à cartographier les capacités industrialo-militaires européennes à l'approche d'une période de tensions géopolitiques accrues.

L'infection du chantier naval a débuté le 24 juillet 2026. Un document Word piégé a été ouvert par un employé, déclenchant une macro fortement obfusquée qui a procédé à l'installation silencieuse de plusieurs fichiers sur le poste de travail. La macro a ensuite lancé HOOKEDGE, un backdoor jusqu'alors inconnu des équipes de threat intelligence.

HOOKEDGE présente une particularité technique notable : pour établir ses communications de commande et contrôle (C2), il exploite une fenêtre Microsoft Edge cachée pour contacter webhook.site, un service web public et légitime. Cette technique, connue sous le nom de "living-off-the-land browser" (LoLBrowser), permet de camoufler le trafic malveillant au milieu des connexions Edge habituelles, rendant la détection par les outils de surveillance réseau traditionnels particulièrement difficile.

En parallèle à HOOKEDGE, APT28 a déployé un loader réflexif inédit, conçu pour déchiffrer et exécuter des payloads chiffrés directement en mémoire. Ce type de chargeur, qui ne laisse aucune trace sur le disque, complique considérablement l'analyse forensique post-incident. Le loader réflexif a servi de vecteur pour l'installation de plusieurs outils supplémentaires, dont un module de vol de credentials.

Une fois les identifiants récupérés, APT28 a établi un tunnel SSH covert pour maintenir un accès persistant au réseau interne du chantier naval. Ce tunnel, dissimulé dans le trafic légitime, a permis aux opérateurs du groupe de conserver un point d'ancrage discret pendant environ deux mois, entre juillet et septembre 2026.

Selon les chercheurs, les preuves disponibles ne permettent pas de déterminer si les attaquants ont réussi à exfiltrer des plans de construction navale ou d'autres données sensibles liées aux capacités militaires. La durée de l'accès — deux mois — suggère néanmoins que le groupe a eu largement le temps d'explorer les systèmes internes et de collecter des renseignements de valeur stratégique.

La campagne s'inscrit dans un schéma récurrent d'APT28, qui cible depuis plusieurs années les contractants de défense, les organisations gouvernementales et les infrastructures critiques des pays membres de l'OTAN. En 2024 et 2025, le groupe avait déjà été associé à des intrusions dans des systèmes logistiques militaires et des réseaux diplomatiques européens, selon les rapports publiés par le CERT-FR et plusieurs agences nationales de cybersécurité alliées.

APT28 et l'industrie de défense : un ciblage systématique

APT28 est l'un des groupes d'attaquants les mieux documentés au monde. Attribué au renseignement militaire russe GRU, le groupe opère depuis au moins 2004 et a été impliqué dans certaines des cyberopérations les plus médiatisées de la dernière décennie : l'ingérence électorale américaine de 2016, les attaques contre des institutions européennes dans le contexte du conflit ukrainien, et de multiples campagnes contre la BITD occidentale.

Le ciblage de l'industrie navale militaire revêt une signification particulière dans le contexte géopolitique actuel. La Russie, engagée dans un conflit prolongé avec l'Ukraine depuis 2022, a un intérêt stratégique évident à surveiller les capacités de production navale des pays OTAN susceptibles de livrer des équipements militaires à Kiev ou de renforcer leurs propres flottes en mer Baltique et en mer du Nord.

L'utilisation de webhook.site comme infrastructure C2 illustre une évolution tactique importante : plutôt que d'investir dans des serveurs C2 dédiés facilement repérables, APT28 recourt à des services légitimes pour maquiller ses communications. Cette approche qualifiée de "living-off-the-cloud" a également été observée dans d'autres campagnes utilisant GitHub, OneDrive ou Slack comme canaux de contrôle.

Pour les entreprises de la BITD, cette attaque constitue un rappel que la chaîne de sous-traitance est une surface d'attaque privilégiée. Un chantier naval ou un motoriste militaire peut avoir des protections moindres qu'un maître d'œuvre principal tout en ayant accès à des informations techniquement sensibles. Les attaquants exploitent systématiquement ces maillons plus faibles.

Ce qu'il faut retenir

• APT28 a compromis trois organisations de défense dans deux pays OTAN via un document Word piégé déployant le backdoor HOOKEDGE et un loader réflexif inédit.
• Le trafic C2 transite par une fenêtre Edge cachée vers webhook.site, technique conçue pour échapper à la détection réseau.
• Les entreprises de la défense doivent bloquer l'accès à webhook.site et équivalents, désactiver les macros Office non signées, et surveiller les connexions SSH sortantes inhabituelles.