APT28、防衛関連組織に侵入―Word文書から認証情報窃取とSSHトンネルへ

Symantecは2026年10月20日、ロシアの攻撃集団APT28による、NATO加盟2か国の防衛・法執行組織への攻撃を報告しました。対象は海軍向けの造船企業、軍用航空機エンジンの製造企業、法執行機関で、企業名や国名は公表していません。

詳しく解析された造船企業では、7月24日にメール添付のWord文書が開かれ、マクロから「Hookedge」が動きました。画面外に隠したMicrosoft Edgeを通信に使い、外部から命令を取得します。その後の段階では、正規のWebサービスから攻撃者専用の通信先へ切り替えていました。

攻撃者は端末にSSH鍵を配置して外部とのトンネルを作り、内部ネットワークへ接続する経路を確保しました。別の処理では端末自身に認証を行わせ、NTLMの認証交換データを取得しています。暗号化したプログラムをメモリ上で復号・実行する新たなローダーも見つかりましたが、実行対象の内容は回収できず、最終的な機能は不明です。

関連する起動処理は9月24日にも観測されましたが、攻撃者が再操作したのか、自動処理だけが残っていたのかは分かっていません。同社は痕跡を見つけた組織に対し、最初の不正プログラムの除去だけで完了とせず、認証情報の窃取やトンネルの有無まで調べるよう求めています。