ロシアGRU系APT「BlueDelta」が軽量バックドアHOOKEDGEで欧州外交・防衛を標的に — Recorded Futureが2025年9月から2026年4月の侵攻を分析

Recorded Futureの脅威インテリジェンス部門であるInsikt Groupは2026年8月27日、ロシア連邦軍参謀本部情報総局（GRU）に帰属するとされる脅威グループBlueDelta（別名 APT28 / Fancy Bear / Forest Blizzard）が、欧州の政府・外交組織を標的として軽量バックドアHOOKEDGEを展開した一連の初期侵入キャンペーンを公表した。

同社が確認した活動期間は2025年9月下旬から2026年4月上旬で、標的はルーマニア、スペイン、トルコの政府や外交関連組織だった。Insikt Groupは、HOOKEDGEと過去のBlueDeltaのバックドアHEADLACEとのコード・戦術の重なりやインフラのパターン、ロシアの情報収集上の関心との整合性から、BlueDeltaによる活動と中程度の確度（moderate confidence）で評価している。

マクロ付きWord文書を起点とする感染連鎖

攻撃の起点は、マクロ付きMicrosoft Word文書だった。Insikt Groupによると、文書はスピアフィッシングの添付ファイルとして送られたとみられ、受信者がマクロを有効化するとAutoOpen()が実行される。文書は %userprofile% 配下に6つのファイルを書き込み、HOOKEDGEのインストーラ連鎖を起動する。

書き込まれるファイルの役割は、HOOKEDGE本体のバッチファイル（.bat）、ランチャーのVBScript（.vbs）、インストーラ（.cmd）やそのランチャー、データ窃取のステージング用HTML/XHTMLなどに分かれる。インストーラのランチャーは30分ごとに実行されるスケジュールタスクを作成し、HOOKEDGEランチャー経由でバックドアを定期実行させる。インストール後は、インストーラ本体やタスク定義ファイルを削除し、痕跡を最小化する。

文書の表示面では、偽のWordエラーメッセージを表示して受信者の疑念を抑える細工も確認された。また、文書内に隠し画像として webhook.site のURL（例: hxxp://webhook[.]site/62114596-33f5-47fb-9012-0223529e5a13/docopened[.]jpg）を埋め込み、文書が開かれたことを攻撃者側で検知する「カナリア」機能も備えていた。

webhook.siteを悪用したC2 — HEADLACEからの継承

HOOKEDGE最大の特徴は、正規のwebhookサービスをコマンド&コントロール（C2）やペイロード配信、データ窃取に悪用する点だ。Recorded Futureによると、BlueDeltaは従来から正規のインターネットサービス（LIS）の悪用を好み、今回のキャンペーンでも無料の webhook[.]site を一貫して利用した。正規サービス経由の通信は、組織のネットワーク監視では正当なトラフィックに紛れやすく、専用インフラの運用コストも抑えられる。

HOOKEDGEは、BlueDeltaが2023年に使用したHEADLACEと中核的なアーキテクチャを共有しており、軽量で改変しやすい初期アクセス用ツールという位置づけは共通する。違いは運用上の洗練で、Insikt Groupは2025年9月から2026年4月にかけて、ルアー文書や実行方法、ビーコン間隔を継続的に調整していたと分析している。無料枠のAPI制限の縮小など、インフラ側の制約に適応した変更とみられる。

情報価値が高いと判断された標的に対しては、ビーコン間隔を大幅に短縮した第2段階のHOOKEDGEペイロードを追加展開し、オペレータがより即応的にタスクを投入できるようにしていた。初期アクセス用のwebhookエンドポイントを使い切らないための運用上の工夫だと同社は説明している。

外交ルアーと標的の意図

ルアー文書の内容は、初期は外交テーマが中心だった。最も早く確認された2025年9月26日の検体は、スペイン大統領府・司法・コルテス関係省の2025年9月15日付会合議題を装った文書で、同省が9月8日にモルドバ当局と会合した直後に作成されていた。Insikt Groupは、このタイミングが2025年9月のモルドバ議会選挙を控えた情報収集の意図を示唆する可能性があると、中程度の確度で評価している。

2025年10月から12月にかけては、外交文書の詐称から、受信者に「コンテンツを有効化」を促す汎用的なマクロ有効化ルアーへと手法が変化した。この期間の標的はルーマニアの組織とみられ、2026年4月上旬にはトルコの組織を標的としたHOOKEDGE変種がネットワークテレメトリから確認された。

組織が取るべき対策 — Recorded Futureの推奨

Recorded Futureは、BlueDeltaが今後も軽量で適応しやすい初期アクセス用ツールを欧州の政府・外交標的に投入し続けると評価している。同社は対策として、インターネット由来の文書でのマクロ実行のブロック、スケジュールタスクの悪用やヘッドレスでのMicrosoft Edge実行、webhook.site などwebhookサービスへの外部接続に関する検知カバレッジの実装を推奨している。

同社は、HEADLACEからHOOKEDGEへの移行が「新機能の追加」ではなく「既存の手口の運用上の強靭化」に重点を置いたものである点を強調している。防御側の検知やインフラ制約の変化に合わせて、確立されたツールを着実に改良する姿勢が、長期にわたる諜報活動を支えているという。

出典

• Recorded Future, Insikt Group, “BlueDelta Targets Defense and Diplomacy with HOOKEDGE” (2026-08-27) https://www.recordedfuture.com/research/bluedelta-targets-with-hookedge