كشفت تقارير أمنية حديثة عن حملة تجسس إلكتروني جديدة استهدفت منظمات حكومية ودبلوماسية في كل من رومانيا وإسبانيا وتركيا خلال الفترة الممتدة من سبتمبر 2025 وحتى أبريل 2026. هذه الحملة، التي رصدتها مجموعة Insikt التابعة لشركة Recorded Future، أدت إلى نشر باب خلفي غير موثق سابقًا أطلق عليه اسم HOOKEDGE. الباب الخلفي الجديد يعتمد على ملفات Microsoft Word مفعّلة بالماكرو تحمل طابعًا دبلوماسيًا، حيث جرى في البداية انتحال وثائق حكومية إسبانية قبل أن يتحول المهاجمون إلى أسلوب الهندسة الاجتماعية لاحقًا.
هوية المهاجمين وأدواتهم
نُسبت هذه الأنشطة إلى مجموعة القرصنة الروسية APT28 المعروفة أيضًا باسم Fancy Bear أو Forest Blizzard، وهي مجموعة مدعومة من الدولة الروسية وتُتابع تحت اسم BlueDelta. ويستند هذا التقييم إلى تشابه كبير بين HOOKEDGE وأداة سابقة تدعى HEADLACE، من حيث البنية الأساسية واستغلال خدمات webhook[.]site في التحكم والسيطرة، وتخزين الحمولة، وتسريب البيانات. هذا التشابه يعكس تطورًا مباشرًا للأداة القديمة، حيث عمد المهاجمون إلى تحسين قدراتها لتفادي بيئات الفحص الآلي والتكيف مع القيود المفروضة على واجهات برمجة التطبيقات المجانية.
آلية التنفيذ والتخفي
يبدأ الهجوم عند فتح المستند المرفق والنقر على خيار “Enable Content”، مما يؤدي إلى كتابة ستة ملفات في مجلد المستخدم وتشغيل سلسلة تثبيت HOOKEDGE. يقوم المثبّت بإنشاء مهمة مجدولة تعمل كل 30 دقيقة لتشغيل الباب الخلفي، ثم يحذف نفسه والملفات المرتبطة به لتقليل الأثر الجنائي وصعوبة الاستجابة للحوادث. الملف الطُعم يحتوي أيضًا على صورة مخفية مرتبطة بعنوان webhook، تُستخدم لتنبيه المهاجمين بمجرد فتح المستند. أما الباب الخلفي نفسه فهو عبارة عن سكربت Batch بسيط يدخل في حلقة انتظار لتنفيذ أوامر عن بُعد عبر تحميل ملفات .cmd وتشغيلها، ثم إرسال النتائج إلى خادم المهاجمين باستخدام متصفح Microsoft Edge في وضع مخفي أو بدون واجهة. بعد إتمام العملية، تُحذف الملفات المؤقتة ويُغلق أي عملية مرتبطة بالباب الخلفي، في محاولة لإخفاء النشاط الخبيث.
مراحل متقدمة وتكتيكات إضافية
رُصدت أيضًا نسخة ثانية من HOOKEDGE تُستخدم ضد الأهداف عالية القيمة، حيث تعمل بفاصل زمني لا يتجاوز خمس دقائق، ما يمنح المهاجمين قدرة أكبر على التحكم المباشر والأنشطة التفاعلية بعد الاختراق. هذا التصميم ثنائي المراحل يساعد على تجاوز القيود المفروضة على خدمة webhook[.]site، إذ أن الحد الأقصى لعدد الطلبات المجانية هو 100 لكل نقطة نهاية، ما يعني أن الفاصل الزمني البالغ 30 دقيقة يستنفد الحصة خلال يومين أو ثلاثة. لذلك، يتم نقل الضحايا المهمين إلى نقاط نهاية مخصصة لضمان استمرار جمع المعلومات دون انقطاع. كما أظهرت التحليلات أن المجموعة عدّلت أسلوبها بإزالة ميزة “canary” التي كانت تلتقط عناوين IP عند فتح المستند، في خطوة يُعتقد أنها تهدف إلى تقليل مؤشرات الاختراق على مستوى الشبكة.
توصيات دفاعية
يوصي الخبراء بضرورة حظر تشغيل الماكرو في المستندات الواردة من الإنترنت، وتوسيع نطاق الكشف عن إساءة استخدام المهام المجدولة، وتشغيل Microsoft Edge في الوضع المخفي، إضافة إلى مراقبة الاتصالات الصادرة نحو خدمات webhook. ويؤكد التقرير أن مجموعة BlueDelta تواصل الاستثمار في أدوات وصول أولي خفيفة وسهلة التكيّف لدعم عمليات جمع المعلومات الاستخبارية ضد أهداف حكومية ودبلوماسية أوروبية، مع التركيز على تعزيز القدرة التشغيلية عبر تحسين الأدوات القائمة بدلًا من تطوير قدرات جديدة.
