Investigadores do Insikt Group, da Recorded Future, documentaram uma nova campanha de ciberespionagem russa que recorre a uma backdoor até agora não documentada, batizada HOOKEDGE, para atacar organizações governamentais, diplomáticas e de indústria de defesa na Europa. A atividade, atribuída ao ator estatal BlueDelta, decorreu entre finais de setembro de 2025 e o início de abril de 2026 e teve como alvos entidades na Roménia, Espanha e Turquia, através de documentos Word com macros e de infraestrutura legítima de webhooks usada para estabelecer acesso, executar comandos e exfiltrar dados. O Insikt Group avalia com confiança moderada que a operação foi conduzida pelo BlueDelta — que se sobrepõe aos grupos publicamente conhecidos como APT28, Fancy Bear e Forest Blizzard, atribuídos à Direção Principal do Estado-Maior das Forças Armadas da Federação Russa (GRU) —, com base na sobreposição significativa de código e de tradecraft entre o HOOKEDGE e a backdoor HEADLACE, em padrões consistentes de infraestrutura e num alvo compatível com prioridades conhecidas de recolha de informações russas.
Resposta rápida: O HOOKEDGE é uma backdoor em script de linha de comandos do Windows, distribuída por documentos Word com macros e ligada com confiança moderada ao grupo russo APT28/BlueDelta. Em vez de servidores próprios, abusa do serviço legítimo webhook.site e do browser Microsoft Edge para receber comandos e enviar dados roubados, o que dificulta a deteção por perímetro. Não há aqui qualquer CVE a corrigir: a porta de entrada é a macro que o utilizador ativa. A ação recomendada é bloquear macros em ficheiros vindos da Internet, vigiar tarefas agendadas criadas em pastas de perfil de utilizador e monitorizar tráfego para serviços de webhook públicos.
Uma backdoor simples que se esconde em serviços de confiança
O que torna esta campanha relevante não é sofisticação técnica, mas o contrário: a economia de meios. O HOOKEDGE não é uma família de malware compilada convencional; trata-se de uma backdoor em script de lote do Windows construída para consultar repetidamente endpoints do webhook.site controlados pelos atacantes, descarregando fragmentos de comandos, reconstruindo-os localmente, executando o ficheiro de comandos resultante e capturando o resultado. O implante assenta em dois webhooks: um recebe os comandos e o outro devolve os dados roubados aos operadores.
Segundo a Recorded Future, o HOOKEDGE partilha a arquitetura central do HEADLACE, abusando de serviços legítimos de webhook para comando e controlo (C2), alojamento de payloads e exfiltração de dados, o que permite que a atividade maliciosa se misture com tráfego legítimo e reduz os custos operacionais de manter infraestrutura dedicada. O tráfego de espionagem é dissimulado através do webhook.site e do Microsoft Edge. Na prática, uma organização que veja pedidos HTTPS do Edge para um serviço popular entre programadores dificilmente levantará suspeitas apenas com base em listas de domínios maliciosos.
Como funciona a cadeia de infeção
A entrada é clássica e depende inteiramente de engenharia social. A campanha começa com documentos Microsoft Word com macros, provavelmente entregues por spearphishing; as primeiras amostras usaram iscos de temática diplomática que se faziam passar pelo Ministério da Presidência, Justiça e Relações com as Cortes de Espanha, enquanto documentos posteriores recorreram a mensagens genéricas que instruíam o destinatário a clicar em «Ativar conteúdo». Uma vez ativadas as macros, o documento escreve vários ficheiros na pasta de perfil do utilizador e inicia uma cadeia de instalação, criando uma tarefa agendada para manter persistência e apagando depois o instalador e os ficheiros associados para reduzir vestígios no sistema comprometido.
Os restantes ficheiros usam nomes em formato GUID associados aos endpoints de webhook do BlueDelta, ligando diretamente os artefactos locais do malware à infraestrutura de tarefas e exfiltração. Há ainda um mecanismo de triagem digno de nota: quando uma vítima demonstrava valer atenção mais aprofundada, através de comunicação ativa com os endpoints iniciais, o BlueDelta instalava um segundo payload HOOKEDGE configurado para contactar o C2 a cada cinco minutos, dando aos operadores muito mais controlo interativo sobre a máquina.
Cronologia da campanha
| Data | Acontecimento |
|---|---|
| 26 de setembro de 2025 | Deteção do isco mais antigo conhecido, imitando uma agenda do Ministério da Presidência, Justiça e Relações com as Cortes de Espanha |
| Setembro de 2025 | O documento surge pouco depois de uma reunião entre responsáveis espanhóis e moldavos, antes das eleições legislativas na Moldávia |
| Outubro de 2025 (aprox.) | Mudança para iscos genéricos, centrados no pedido de «Ativar conteúdo» |
| Setembro de 2025 a abril de 2026 | Refinamento contínuo do implante para escapar a ambientes automatizados de análise |
| Agosto de 2026 | Publicação da investigação do Insikt Group sobre o HOOKEDGE |
O isco mais antigo foi detetado a 26 de setembro de 2025 e imitava uma agenda do ministério espanhol; os investigadores notaram que o documento surgiu pouco depois de uma reunião de setembro de 2025 entre responsáveis espanhóis e moldavos, sugerindo alinhamento com interesses russos. O momento é relevante porque antecedeu as eleições legislativas moldavas de setembro de 2025, e o documento era suficientemente credível para tornar a tentativa de phishing plausível. O implante foi sendo refinado entre setembro de 2025 e abril de 2026, provavelmente para evadir ambientes automatizados de sandbox.
Do HEADLACE ao HOOKEDGE: continuidade de tradecraft
O BlueDelta tem um historial documentado de acesso inicial por spearphishing, roubo de credenciais e ferramentas próprias leves, com uso frequente de documentos maliciosos, scripts de lote do Windows e técnicas de living-off-the-land; o Insikt Group documentou em 2023 o uso da família HEADLACE, uma backdoor leve usada nas fases iniciais de intrusões contra organizações europeias, e considera esta campanha uma continuação direta dessas operações. A sobreposição chega ao detalhe de nomes idênticos de variáveis JavaScript e do mesmo esquema de codificação base64, o que sustenta a avaliação de que o HOOKEDGE é um sucessor evolutivo mantido pelos mesmos operadores, e não uma ferramenta nova criada por outra equipa.
O que monitorizar e como mitigar
Não existe aqui um CVE nem um patch a aplicar: a mitigação é de configuração, telemetria e formação. A tabela seguinte resume os sinais comportamentais descritos na investigação e que fazem sentido converter em regras de deteção.
| Sinal | Onde observar |
|---|---|
Pedidos HTTPS para webhook.site | Proxy, DNS, firewall aplicacional |
Ficheiros com nomes em formato GUID em %userprofile% | EDR, auditoria de sistema de ficheiros |
| Tarefas agendadas criadas por processos do Office | Registos de Task Scheduler e EDR |
| Processos do Microsoft Edge lançados por scripts de lote | Telemetria de criação de processos |
Ficheiros .cmd e .html temporários criados e apagados em ciclo | EDR, análise forense de endpoint |
- Bloquear a execução de macros em ficheiros do Office provenientes da Internet, por política de grupo, e limitar exceções a casos justificados. Recomendação semelhante foi feita por investigadores que analisaram outra backdoor do APT28, sugerindo desativar macros por omissão, monitorizar atividade invulgar e inspecionar gatilhos por email.
- Restringir ou registar o acesso a serviços públicos de webhook e de teste de pedidos HTTP a partir de estações de trabalho corporativas.
- Auditar periodicamente tarefas agendadas que executem scripts a partir de pastas escritas pelo utilizador.
- Reforçar a formação de quadros diplomáticos, jurídicos e de gestão contra iscos que imitam agendas, convocatórias e documentos institucionais reais.
- Preservar registos de endpoint por períodos alargados, dado que o implante apaga ativamente os seus vestígios de instalação.
Porque é que isto importa em Portugal
Portugal não consta da lista de países visados nesta campanha específica, mas o APT28 é um ator recorrente no radar nacional. O Boletim do Observatório de Cibersegurança do CNCS de junho de 2026 dedicou espaço ao grupo, referindo a exposição acidental de parte da sua infraestrutura de comando e controlo, que confirmou o foco em entidades governamentais e militares na Europa, com particular incidência em países alinhados com a NATO e no apoio à Ucrânia, sobretudo através de campanhas de spearphishing altamente direcionadas. Fabricantes de defesa, entidades da administração pública, universidades com investigação dual e fornecedores dessas organizações estão dentro do perfil de alvo.
Do ponto de vista legal, o enquadramento mudou. O Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025, transpôs a Diretiva (UE) 2022/2555 e aprovou o novo regime jurídico da cibersegurança (NIS2), em vigor desde 3 de abril de 2026. O respetivo Regulamento entrou em vigor a 23 de junho de 2026 e, com a sua publicação, começou a contar o prazo legal de 24 meses para a produção de efeitos das medidas de cibersegurança e da obrigação de relatório anual das entidades essenciais. O CNCS disponibilizou ainda a plataforma MyCiber, oficial para registo de entidades, autoidentificação, comunicações formais e notificação de incidentes ao abrigo do diploma. O regime introduz obrigações de notificação mais exigentes, com prazos vinculativos de 24 horas, 72 horas e 30 dias.
Há também uma dimensão de proteção de dados. Uma intrusão de espionagem que exfiltra correspondência, agendas e listas de contactos envolve quase sempre dados pessoais, o que ativa as obrigações do RGPD perante a CNPD, em paralelo com a notificação ao CNCS. Para PME que prestam serviços a entidades públicas ou de defesa, a lição é direta: uma macro ativada num único posto de trabalho pode ser suficiente para transformar a organização em ponto de entrada de uma operação estatal.
Perguntas frequentes
O HOOKEDGE explora alguma vulnerabilidade do Windows ou do Office?
Não. De acordo com a investigação divulgada, a infeção depende de o utilizador abrir um documento Word e ativar as macros. Não foi identificado qualquer CVE associado a esta cadeia, pelo que a defesa passa por política de macros, deteção comportamental e formação, e não por atualizações de segurança.
Porque é que usar o webhook.site é vantajoso para os atacantes?
Porque é um serviço legítimo e amplamente usado por programadores. O tráfego para esse domínio tende a não ser bloqueado nem sinalizado, e os operadores evitam os custos e a exposição de manter servidores próprios de comando e controlo.
Como sei se a minha organização foi afetada?
Procure ficheiros com nomes em formato GUID na pasta de perfil dos utilizadores, tarefas agendadas criadas por processos do Office, execuções do Microsoft Edge lançadas por scripts e ligações a serviços públicos de webhook. Como o implante apaga vestígios da instalação, os registos de endpoint e de rede são frequentemente a melhor evidência.
Se detetar um incidente destes, a quem devo comunicar em Portugal?
As entidades abrangidas pelo regime jurídico da cibersegurança devem notificar o CNCS através da plataforma MyCiber, dentro dos prazos legais de 24 horas, 72 horas e 30 dias. Se houver dados pessoais envolvidos, acresce a avaliação da obrigação de notificação à CNPD e, quando aplicável, aos titulares dos dados.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Recorded Future (Insikt Group), pelo CNCS e por outras fontes de investigação de segurança citadas.