ロシアGRU系BlueDelta（APT28）が欧州の外交・防衛を標的に — 軽量バックドア「HOOKEDGE」でwebhookを悪用

Recorded FutureのInsikt Groupは2026年8月27日、ロシアの国家支援型グループBlueDeltaが欧州の政府・外交・防衛組織を標的に軽量バックドア「HOOKEDGE」を用いた侵入キャンペーンを展開したと公表した。BlueDeltaはAPT28やFancy Bear、Forest Blizzardとしても追跡されるグループで、ロシア連邦軍参謀本部情報総局（GRU）に帰属するとされる。Insikt GroupはHEADLACEとのコードや手口の重なり、インフラの共通性、ロシアの情報収集要求と一致する標的選定から、BlueDeltaによる活動と中程度の確度で帰属判断している。

対象期間は2025年9月26日から2026年4月8日で、確認された標的はルーマニア、スペイン、トルコの政府や外交、防衛関連組織だ。初期の誘い文書はスペインの大統領府・法務・国会関係省の会合議事を装い、2025年9月8日のスペイン・モルドバ高官会合の直後に作成された。Insikt Groupは、2025年9月のモルドバ議会選挙を控え、ロシアの関心が高い外交動向を悪用しようとした可能性があると指摘している。10月以降は外交テーマを離れ、「コンテンツの有効化」を促す一般的なマクロ有効化の誘惑へ切り替わった。

マクロ付きWord文書から6ファイルを投下 — 30分ごとのタスクで永続化

Insikt Groupによると、BlueDeltaはスピアフィッシングの添付ファイルとみられるマクロ付きWord文書を主な侵入経路として使った。利用者が文書を開いてマクロを有効化すると、WordのAutoOpen処理が実行される。文書は%userprofile%配下に6つのファイルを書き込み、HOOKEDGEのインストーラ連鎖を起動する。

投下されるファイルは、HOOKEDGE本体（.bat）、起動用（.vbs）、インストーラ（.cmd）、インストーラ起動用（.vbs）、窃取データの組み立てに使うヘッダ（.htm）とフッタ（.xhtml）だ。インストーラ起動用ファイルは、HOOKEDGE本体と起動用ファイルを引数として30分ごとに実行するスケジュールタスクを作成する。タスク作成後、インストーラ本体と起動用ファイル、タスク定義ファイルは自己削除され、初期感染の痕跡を減らす。文書にはwebhook.site上のdocopened.jpgへの隠し画像参照も含まれ、利用者が文書を開いた時点で攻撃者側へ通知が届く仕組みだった。2026年1月以降はメール開封を把握するmailopened.jpgも確認された。

Edge経由で命令取得と窃取 — 正規サービスに紛れる通信

HOOKEDGEは軽量なWindowsバッチ製バックドアだ。Insikt Groupは、HOOKEDGEが実行のたびに次の動作を繰り返すと説明している。

1. %userprofile%\Downloads配下の残留ファイル（.75e、.tmp、.crdownload）を削除する
2. Microsoft Edgeを起動してステージング用のwebhookに接続し、HTMLに埋め込まれたJavaScriptが.75eファイルを自動ダウンロードする
3. .75eファイルを連結して.cmdファイルを作成し、実行して結果を一時ファイルに保存する
4. 事前に投下された.htmヘッダと.xhtmlフッタで結果を挟み込み、HTML形式の窃取ファイルを作成する
5. 再びEdgeでそのHTMLを開き、読み込み時に自動送信されるフォーム経由で結果を窃取用webhookへPOSTする
6. 一時ファイルを削除し、タスク識別名に一致するウィンドウを持つプロセスを終了する

HOOKEDGEの特徴は、命令取得と窃取のいずれもmsedge.exeで行う点だ。Insikt Groupは、汎用的なLiving-off-the-Landバイナリや独自バイナリではなく正規ブラウザを使うことで、通信が通常の企業内閲覧に紛れ、検知を回避しやすくなると指摘している。

HOOKEDGEのコードと構造は、BlueDeltaが2023年から用いてきたHEADLACEと大幅に重なる。Insikt Groupは、変数名やプロパティ、構造、自動ダウンロードに使うBase64の手法が同一であり、HOOKEDGEはHEADLACEの直接の後継だと中程度の確度で評価している。同様の活動はLab52がOperation MacroMazeとして報告している。

価値の高い標的には5分間隔の第2段階を展開 — webhookの制約を回避

価値が高いと判断した標的では、BlueDeltaは第2段階のHOOKEDGEを別途展開した。第1段階のタスクが30分ごとに実行されるのに対し、第2段階は最短で5分ごとに実行される。Insikt Groupは、短い間隔が対話的な操作を可能にし、初期アクセス用のwebhookエンドポイントの要求上限を消費せずに継続的な収集を可能にすると分析している。

webhook.siteの無料枠は1エンドポイントあたり最大100リクエストという制限がある。30分間隔でも2〜3日で上限に達する。Insikt Groupは、第1段階を広くばらまく初期アクセス用、第2段階を重要標的の継続収集用と分離することで、制限を回避しつつ運用を維持したとみている。

Insikt Groupは、HOOKEDGEが2025年9月から2026年4月にかけて継続的に改良されたことも確認した。初期の外交テーマの誘惑から一般的な誘惑への移行、Edgeの実行をヘッドレスから非表示ウィンドウへの変更、メール開封カナリアの追加、ビーコン間隔の延長（30分から61分へ）などで、サンドボックス回避とインフラの延命を図ったと分析している。2026年6月下旬の検体では文書開封カナリアが削除され、ネットワーク指標の削減が試みられた可能性がある。

インフラはwebhook.siteに全面依存 — NordVPN経由で管理

BlueDeltaは、今回の全キャンペーンでC2、ペイロード配置、データ窃取のいずれもwebhook.siteに依存した。Insikt Groupは、専用インフラではなく正規のインターネットサービス（LIS）に依存することで、検知回避と運用の簡素化を優先したと指摘している。文書開封確認、命令配置、窃取のそれぞれに別々のエンドポイントを使い、エンドポイントのUUIDを投下ファイル名にも再利用する設計だった。

通信先は正規サービスのHTTPSエンドポイントであり、ブロックリストやドメイン評価、信頼サービスを除外するTLS検査では捉えにくい。BlueDeltaはwebhook.siteのエンドポイント管理をNordVPNのIPアドレスから行い、運用者の発信元を隠していた。Insikt Groupは、この組み合わせが従来のネットワーク監視だけでの帰属特定を困難にしていると述べている。

対策 — マクロ制御とタスク・Edgeの監視を

Insikt Groupは、組織が取るべき対策として、インターネット由来の文書でのマクロ実行をブロックすること、ユーザーフォルダ配下のスクリプトを起動するスケジュールタスクの作成を監視すること、ヘッドレスや非表示で起動するMicrosoft Edgeの不審な自動実行を検知することを推奨している。加えて、業務で使わないwebhookやファイル共有サービスへの送信を遮断し、利用する場合も送信先を監視するよう求めている。認証情報窃取の後続被害を抑えるため、FIDO2などのフィッシング耐性を持つ多要素認証の導入も有効だとしている。

日本の組織にとっても、BlueDeltaの手口は他人事ではない。外交文書を偽装する手口は、日本の省庁や取引先を装う日本語の誘惑文書にも置き換え可能だ。Wordのマクロを既定で無効化し、外部から受信した文書のマクロ実行を組織ポリシーでブロックすることが、HOOKEDGEのような軽量バッチ型侵入の入り口を閉じる第一歩になる。

出典

• Recorded Future Insikt Group「BlueDelta Targets Defense and Diplomacy with HOOKEDGE」CTA-RU-2026-0827（2026年8月27日公表） https://assets.recordedfuture.com/insikt-report-pdfs/2026/cta-ru-2026-0827.pdf