محققان امنیتی دریافتند که هکرهای وابسته به روسیه در یک کارزار جاسوسی اخیر، یک کشتی‌ساز دریایی، یک تولیدکننده موتور هواپیماهای نظامی و یک نهاد اجرای قانون را در دو کشور عضو ناتو هدف قرار داده‌اند.
طبق گزارش شرکت امنیتی Symantec، این حملات به گروه APT28 نسبت داده شده است؛ گروهی که با سازمان اطلاعات نظامی روسیه (GRU) در ارتباط است. محققان هویت دقیق دو کشور عضو ناتو و سازمان‌های هدف را فاش نکردند، اما اعلام کردند که قربانیان در اروپا مستقر هستند.
این هکرها برای دسترسی به سیستم‌های قربانیان، سرقت اعتبارنامه‌ها (Credentials) و جمع‌آوری اطلاعات شبکه، از یک درب پشتی (Backdoor) که اخیراً کشف شده و با نام Hookedge شناخته می‌شود، استفاده کرده‌اند. این بدافزار اولین بار در ماه اوت توسط گروه Insikt متعلق به Recorded Future مستند شده بود.
در یکی از حملات علیه یک کشتی‌ساز دریایی، هکرها پس از اینکه یکی از کارکنان یک سند مخرب Microsoft Word را که از طریق پیوست ایمیل دریافت شده بود، باز کرد، موفق به نفوذ شدند. مهاجمان متعاقباً شبکه داخلی شرکت را جستجو کرده و برای سرقت اعتبارنامه‌های ورود تلاش کردند.
در طول هفته بعد، هکرها مکرراً به کامپیوتر آلوده بازگشته و ابزاری جدید و پیش از این مستند نشده را برای رمزگشایی و اجرای کد مخرب مستقیماً در حافظه (Memory) کامپیوتر مستقر کردند. هدف نهایی این ابزار هنوز مشخص نیست.
اولین سرایت (Infection) تأیید شده در ۲۴ جولای رخ داد، در حالی که فعالیت‌های مخرب مرتبط تا ۲۴ سپتامبر شناسایی شده‌اند. این بازه زمانی نشان می‌دهد که عملیات حداقل دو ماه ادامه داشته است، هرچند محققان نتوانسته‌اند ثابت کنند که آیا مهاجمان در تمام این مدت دسترسی بدون وقفه داشته‌اند یا خیر.
با توجه به ماهیت اهداف، منطقی است که فرض شود اطلاعات مرتبط با حوزه دفاعی هدف اصلی این حملات بوده است. فعالیت‌های مستمر مشاهده شده در ماه سپتامبر نشان می‌دهد که این کارزار جاسوسی همچنان ادامه دارد.
گروه APT28 که با نام‌های Fancy Bear، BlueDelta و Forest Blizzard نیز شناخته می‌شود، بیش از یک دهه است که عملیات جاسوسی سایبری را علیه سازمان‌های نظامی، دولتی و دفاعی در اروپا و آمریکای شمالی انجام می‌دهد. این گروه پیش از انتخابات ریاست‌جمهوری ایالات متحده در سال ۲۰۱۶، پس از ارتباط با هک کمیته ملی دموکرات‌ها، توجه جهانی را به خود جلب کرد.
به‌روزرسانی (اکتبر 20, 2026 — security.com)
به‌روزرسانی: گزارش‌های فنی جدید از فعالیت‌های گروه هکری Swallowtail (که با نام‌های APT28 و Fancy Bear نیز شناخته می‌شود) نشان می‌دهد که این عامل تهدید (Threat Actor) با دقت بالایی صنایع دفاعی و امنیتی را هدف قرار داده است. اهداف شناسایی شده شامل نهادهای اجرای قانون (Law Enforcement)، کشتی‌سازی دریایی و تولیدکنندگان موتورهای هوافضا هستند که احتمالاً اطلاعات استراتژیک نظامی در اختیار دارند.
تحلیل‌های جدید، تکنیک‌های پیشرفته و ابزارهای اختصاصی این گروه را فاش کرده است:
- بردار حمله (Attack Vector): نفوذ از طریق اسناد Word حاوی ماکرو (Macro-enabled) و استفاده از یک نمونه مخفی و خارج از صفحه (Off-screen) از مرورگر Microsoft Edge برای دریافت دستورات و دانلود فایل‌ها.
- کنترل و فرمان (C2): استفاده گسترده از سرویس webhook.site برای مدیریت ارتباطات و دریافت خروجی‌های سرقت شده.
- سرقت اعتبارنامه‌ها (Credential Theft): بهره‌گیری از دو روش مجزا؛ ایجاد تونل SSH برای دسترسی مداوم به شبکه داخلی و اجرای اسکریپت‌های PowerShell برای ایجاد یک Listener محلی و ضبط NTLM handshake جهت سرقت هش‌های رمز عبور.
- ابزار جدید: شناسایی یک لودر انعکاسی (Reflective Loader) جدید با نام
ld.exeکه وظیفه رمزگشایی و اجرای فایل‌های مخرب را مستقیماً در حافظه (Memory) بر عهده دارد.
