Le groupe de cyberespionnage russe BlueDelta, plus connu sous le nom d'APT28 ou Fancy Bear, a ciblé des organisations diplomatiques et gouvernementales en Roumanie, en Espagne et en Turquie. Son nouvel outil, HOOKEDGE, se cache derrière Microsoft Edge et un service web grand public pour transmettre ses ordres et exfiltrer des données.
Entre fin septembre 2025 et juillet 2026, Recorded Future a suivi le déploiement de cette porte dérobée par BlueDelta, une entité liée au renseignement militaire russe (GRU). Cette intrusion se base sur des documents Word piégés et des services légitimes plutôt que sur une infrastructure dédiée.
Encore et toujours un document Word comme porte d'entrée
Tout commence par un email de phishing contenant un document Word avec des macros. Les premiers pièges ont été repérés dès septembre 2025. Ils imitaient des documents officiels à caractère diplomatique, dont un courrier attribué au ministère espagnol de la Présidence. BlueDelta est ensuite passé à des fichiers plus génériques, se limitant à demander l'activation du contenu. Une fois les macros validées, le document écrit six fichiers (scripts batch, VBScript, pages HTML) dans le dossier de l'utilisateur. Il installe ensuite une tâche planifiée Windows, laquelle relance le programme à intervalles réguliers, puis il efface les traces de son installation. Un faux message d'erreur Word s'affiche au passage pour ne pas éveiller les soupçons.
Microsoft Edge détourné pour piloter l'espionnage à distance
HOOKEDGE fonctionne ensuite par cycles. Le programme ouvre une instance cachée de Microsoft Edge pour aller chercher ses instructions sur une adresse hébergée par webhook.site, un service gratuit normalement destiné aux développeurs pour tester des requêtes web. Les instructions récupérées sont assemblées en une commande exécutée sur la machine, et le résultat repart via une seconde connexion Edge vers une autre adresse, réservée cette fois à la collecte des données. Séparer réception des ordres et exfiltration limite les dégâts si l'un des deux points est repéré. Faire transiter ce trafic par un navigateur légitime complique aussi le travail des outils de sécurité, qui se fient souvent à la réputation des domaines.
Les chercheurs ont aussi observé une hiérarchie dans le traitement des victimes. Une première instance de HOOKEDGE contacte ses opérateurs toutes les 30 minutes. Sur les versions récentes, cet intervalle passe à 61 minutes. D'un côté, cela ménage le quota de 100 requêtes de la version gratuite de webhook.site, et de l'autre cela permet d'échapper aux bacs à sable automatisés, qui n'observent généralement un fichier qu'une heure tout au plus. Sur les cibles jugées prioritaires, une seconde charge peut être installée avec un rythme de connexion allant jusqu'à cinq minutes, et les adresses webhook.site utilisées pour ces cibles étaient administrées depuis des IP NordVPN. Recorded Future a aussi trouvé un lien entre HOOKEDGE et une porte dérobée plus ancienne du même groupe, HEADLACE. Début février 2026, nous rapportions déjà comment ce groupe exploitait une faille de Microsoft Office (CVE-2026-21509) pour viser des cibles gouvernementales en Ukraine et en Roumanie, cette fois sans macros.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.