Η ρωσική ομάδα κυβερνοκατασκοπείας APT28, γνωστή και ως Fancy Bear ή Forest Blizzard, στόχευσε οργανισμούς σε δύο κράτη-μέλη του ΝΑΤΟ, ανάμεσά τους ένα ναυπηγείο πολεμικών πλοίων, έναν κατασκευαστή κινητήρων στρατιωτικών αεροσκαφών και μια υπηρεσία επιβολής του νόμου. Την επιχείρηση αποκάλυψε η ομάδα Threat Hunter της Symantec (Broadcom) σε τεχνική ανάλυση που δημοσίευσε στις 20 Οκτωβρίου, χωρίς να κατονομάζει τις χώρες ή τις εταιρείες.
Η Symantec παρακολουθεί την ομάδα με το όνομα Swallowtail. Σύμφωνα με την αμερικανική κυβέρνηση, πρόκειται για μονάδα της ρωσικής στρατιωτικής υπηρεσίας πληροφοριών GRU, που στοχεύει κυρίως στρατιωτικούς, αμυντικούς και κυβερνητικούς φορείς σε Ευρώπη και Βόρεια Αμερική και έγινε ευρέως γνωστή το 2016 με την επίθεση στην Εθνική Επιτροπή των Δημοκρατικών των ΗΠΑ. «Και οι τρεις στόχοι είχαν πιθανότατα πληροφορίες άμεσου ενδιαφέροντος για μια ξένη υπηρεσία πληροφοριών», σημειώνει η εταιρεία.
Δύο μήνες μέσα στο ναυπηγείο
Η πιο εκτεταμένη δραστηριότητα καταγράφηκε στο ναυπηγείο, όπου η εισβολή κράτησε τουλάχιστον δύο μήνες. Οι επιτιθέμενοι επέστρεφαν επανειλημμένα σε έναν παραβιασμένο υπολογιστή επί μία εβδομάδα, σε κάτι που έμοιαζε με χειροκίνητη δράση. Έκλεψαν διαπιστευτήρια με δύο διαφορετικές τεχνικές: η πρώτη ήταν η τοποθέτηση ιδιωτικού κλειδιού SSH και το άνοιγμα μόνιμου «τούνελ» από τον δικό τους διακομιστή προς το εσωτερικό δίκτυο της εταιρείας. Η δεύτερη ήταν ένα σενάριο PowerShell που αναγκάζει τον υπολογιστή να πιστοποιηθεί σε τοπικό «ακροατή», ώστε να καταγραφεί η χειραψία NTLM.
Το βασικό εργαλείο ήταν το backdoor Hookedge, που πρωτοπεριέγραψε το Insikt Group της Recorded Future τον Αύγουστο του 2026. Φτάνει μέσω εγγράφων Word με μακροεντολές και επικοινωνεί αποκλειστικά μέσω της υπηρεσίας webhook.site, χρησιμοποιώντας κρυφό, εκτός οθόνης παράθυρο του Microsoft Edge για να παραλαμβάνει εντολές. Στο ναυπηγείο, ένα δεύτερο στάδιο του Hookedge εγκατέλειψε το webhook.site για μια αποκλειστική διεύθυνση IP των επιτιθέμενων. Αναπτύχθηκε επίσης ένα άγνωστο μέχρι σήμερα εργαλείο, το ld.exe, που αποκρυπτογραφεί και εκτελεί το φορτίο του απευθείας στη μνήμη, με κλειδί που δίνεται μόνο τη στιγμή της εκτέλεσης.
Η αποκάλυψη προστίθεται σε μια σειρά προειδοποιήσεων για τον «σκιώδη πόλεμο» της Ρωσίας κατά της Ευρώπης, για τον οποίο έχει μιλήσει και ο επικεφαλής της γερμανικής υπηρεσίας πληροφοριών BND. Για χώρες με ναυπηγικά προγράμματα σε εξέλιξη, όπως η Ελλάδα με τις νέες μονάδες του Πολεμικού Ναυτικού, η επιλογή ναυπηγείου και κατασκευαστή κινητήρων ως στόχων δείχνει ότι η αμυντική βιομηχανία βρίσκεται στο κέντρο του ενδιαφέροντος της GRU.
