APT28 פרצה ליצרן ספינות צי במדינת נאט״ו ופרסה מטען חדש בזיכרון

חוקרי Symantec מקשרים את קבוצת APT28 (המוכרת גם כ-Fancy Bear, ובמעקב שלהם בשם Swallowtail) לפעילות נגד גופים בשתי מדינות נאט״ו: גוף אכיפת חוק, יצרן ספינות צי ויצרן מנועי מטוסים צבאיים.

הפרטים

הפריצה ליצרן הספינות זוהתה בסוף יולי 2026. המפעילים חזרו שוב ושוב למכונה שנפרצה במשך כשבוע, והפעילות האחרונה שתועדה היא מ-24 בספטמבר 2026, אז נצפה ברשת היצרן מפעיל VBScript הקשור ל-HOOKEDGE. לא ברור אם מידע נגנב בפועל.

לפי הדיווח, התוקפים גנבו אישורים בשתי דרכים: דחיפת מפתח SSH פרטי לחיבור לתשתית שלהם, והרצת סקריפט PowerShell קצר שמכריח אימות NTLM מול מאזין מקומי. הם הקימו מנהרת SSH קבועה לרשת הפנימית והורידו דרכה, באמצעות curl, טוען רפלקטיבי שלא תועד קודם בשם ld.exe. המטען שהוא מפענח בזיכרון אינו ידוע. HOOKEDGE עצמו הוא דלת אחורית בסקריפט batch שמופצת במסמכי Word עם מאקרו; גרסאות ישנות השתמשו ב-webhook.site לתיאום, וחדשות יותר פנו לכתובת IP ייעודית.

נקודות לשים לב

חפש חיבורי SSH יוצאים וממושכים מתחנות Windows, והרצות של curl דרך SSH.
בדוק אם נוספו מפתחות SSH לא מוכרים, ואם קיימים מאזינים מקומיים שמניעים אימות NTLM לא צפוי.
חסום מאקרו במסמכי Office שמגיעים מבחוץ, ועקוב אחר תעבורה אל webhook.site מסביבה ארגונית.
רשימת ה-IoC המלאה מופיעה במחקר של Symantec; הצלב אותה מול הלוגים שלך.
אין עדיין עדות לגניבת נתונים, ולכן אין להסיק מהדיווח שנחשפו תוכניות או מידע ביטחוני.