Beobachtung
IT-Sicherheitsforscher melden eine bisher unbekannte Backdoor namens HOOKEDGE. Diese wurde offenbar bereits seit September 2025 über Word-Dokumente mit Makros verbreitet. Berichten zufolge zielt die Kampagne insbesondere auf europäische Regierungsstellen, Diplomaten und die Verteidigungsindustrie. HOOKEDGE wird zur Cyberspionage und zum Ausleiten von Daten eingesetzt. Bislang sind Betroffenheiten in Rumänien, Spanien und der Türkei bekanntgeworden, grundsätzlich könnten diese oder ähnliche Backdoors jedoch auch in Deutschland eingesetzt werden.
Methodik
Die Word-Dokumente wurden mutmaßlich per Spear-Phishing versendet. Dabei wurden teils echte oder zumindest sehr authentisch wirkende Vorlagen verwendet. Die Dokumente erfordern das aktive Zulassen von Makros. Nach dieser Aktivierung schreibt das Dokument zunächst Dateien in das Nutzerprofil und startet eine mehrstufige Installationskette. Hierunter befinden sich Skripte und HTML/XHTML Komponenten zur Persistenz und Exfiltration. Die Backdoor wird regelmäßig durch die Windows-Aufgabenplanung aktiviert und bezieht weitere Anweisungen der Angreifer von einem Webhook. In der Folge werden Daten über einen weiteren Webhook ausgeleitet. Hierbei wird ein legitimer Webhook-Dienst missbraucht. Für die Datenübermittlung werden verborgene Instanzen des Edge-Browsers eingesetzt. Temporär anfallende Dateien während der Installation und Exfiltration werden jeweils gelöscht um Spuren zu verwischen.
Attribution
Hinter der Kampagne wird den Berichten zufolge die Cyberspionage-Gruppierung BlueDelta bzw. APT28 vermutet, welche dem russischen Militärnachrichtendienst GRU zuzurechnen ist. Die Gruppierung ist außerdem auch unter den Namen Fancy Bear und Forest Blizzard bekannt und bereits seit mindestens 2004 vor allem im Bereich Cyberspionage aktiv. Die Cyberabwehr des Landesamtes für Verfassungsschutz Baden-Württemberg, das Bundesamt für Verfassungsschutz und internationale Partner warnten in den vergangenen Jahren bereits mehrfach vor den Kampagnen des Akteurs, die sich auch gegen Ziele in Deutschland richteten.
Empfehlung
Wir empfehlen Makros in Dokumenten von unbekannten Absendern oder aus dem Internet grundsätzlich zu deaktivieren und die Richtlinien von Microsoft zum Blockieren von Makros anzuwenden, insbesondere sollte das Ausführen unsignierter VBA-Makros unterbunden werden. Zudem sollte die Windows-Aufgabenplanung auf verdächtige Einträge hin überprüft und die verborgene („headless“) Ausführung von Browsern unterbunden werden. Der Zugriff auf Webhook- und Filehosting-Dienste kann als Vorsichtsmaßnahme generell blockiert werden. In einem ausführlichen Bericht stellt RecordedFuture Indicators of Compromise (IoCs) zur Verfügung.