一周内反复潜入海军造船厂，APT28用上未公开加载器

赛门铁克威胁猎人团队（Symantec Threat Hunter Team）把一组针对北约成员国的攻击活动命名为 Swallowtail，幕后被指向与俄罗斯有关的国家支持黑客组织 APT28（又称 BlueDelta、Fancy Bear、Forest Blizzard）。被点名的目标里，有一家海军造船厂。

这家造船厂不是唯一受害者。同一轮活动中，执法机构、军用航空发动机制造商也在名单上。赛门铁克的说法很直接：这些实体手里的信息，对外国情报机构有用。

针对海军造船厂的那次入侵发生在 2026 年 7 月下旬。操作者在整整一周里反复回到同一台被攻陷的主机，赛门铁克将其描述为“hands-on-keyboard”式的人工操作，而不是自动化脚本跑完就走。

这一周里他们做了几件事：

• 用两种彼此独立的手法窃取凭据材料
• 向组织内网打开一条持久化的 SSH 隧道
• 投放一个此前未被公开记录过的反射式加载器

第一种凭据窃取手法是把 SSH 私钥推送到被攻陷主机上，随即用它连回攻击者自己的服务器，请求一条持久化、后台运行的隧道，从而在自己基础设施和目标内网之间打通一条路。第二种是运行一段短小的自包含 PowerShell 脚本，在主机的回环地址上架起监听，强制机器向它认证，从而捕获产生的 NTLM 握手。

加载器以 ld.exe 的名字落地，通过 SSH 用 curl 命令投放，设计用途是解密并在内存中运行下一阶段组件。至于这个下一阶段载荷究竟是什么，目前仍不清楚。

赛门铁克在给 The Hacker News 的报告里强调，初始访问之后看到的这套手法——两种独立技术窃取凭据、一条持久网络隧道、一个此前未公开的加载器——已经超出了这场行动此前被公开披露的投递机制范围。

被投放的后门叫 HOOKEDGE。它最早由 Recorded Future 旗下 Insikt Group 在 2026 年 8 月底公开记录，关联的是 2025 年 9 月至 2026 年 4 月初针对罗马尼亚、西班牙、土耳其政府和外交机构的网络间谍活动。

HOOKEDGE 与 HEADLACE 在代码和手法上有大量重叠。HEADLACE 是 APT28 自 2023 年 4 月起用于针对外交人员的模块化 Windows 植入程序。HOOKEDGE 通过鱼叉式钓鱼诱饵投递，本体是一个极简的 Windows 批处理脚本，能接收攻击者下发的命令并把结果回传。

投递载体是启用宏的 Microsoft Word 文档，通信则完全走一个 webhook[.]site 网址，用它来下发任务、接收执行输出。被感染的机器取任务时，靠的是一个隐藏的、屏幕外的 Microsoft Edge 浏览器实例，而不是传统的下载器。

到了针对海军造船厂的这次攻击，新变体放弃了 webhook[.]site，改用专用 IP 地址 185.82.218[.]119:443，任务下发和数据外传都走这一个地址。

另一条线上，Team Cymru 表示又识别出五台用于攻击乌克兰实体的 LegionRelay 命令与控制服务器：

• 91.149.221[.]118:8000
• 91.149.221[.]123:8000
• 166.88.239[.]54:8000
• 194.87.108[.]12:8000
• 194.87.108[.]217:8000

LegionRelay 是一个基于 PowerShell 的远程访问木马，支持文件枚举、文件外传、截屏、浏览器数据窃取、Telegram 与 WhatsApp 数据外传，以及建立 RDP 访问。它被归到一个代号 GREYVIBE 的攻击者名下，评估认为该攻击者至少从 2025 年 8 月起就对乌克兰及相关实体持续发动攻击。

乌克兰计算机应急响应小组（CERT-UA）在上月底发布的报告里指出，俄罗斯黑客正越来越多地把乌克兰军方人员和政府官员的智能手机当作目标，用于间谍活动和以经济利益为目的的攻击。该机构的原话是：智能手机在军方人员、政府雇员和平民通信中扮演的角色越来越重，这让它们对情报收集、进一步入侵和牟利型攻击都更有吸引力。

其中就包括 DarkSword iOS 漏洞利用套件，通过攻陷的乌克兰合法新闻网站和政府站点做水坑攻击来分发，从被感染的设备上抽取敏感数据。CERT-UA 称该工具与俄罗斯威胁行为者有关，用它打乌克兰目标，说明对手对 iOS 平台的兴趣在上升——这个平台此前被认为相对安全。

这一判断与谷歌威胁情报组（GTIG）2026 年 3 月的报告一致。该报告把俄罗斯间谍行为者 UNC6353 与自 2025 年夏季起针对乌克兰用户的 Coruna、DarkSword 套件水坑攻击联系起来。

Android 生态同样没被放过。威胁集群 UAC-0244 和 UAC-0263 用诱饵应用投递两种不同的恶意软件家族：UAC-0244 分发 CAMELSPY，采集设备系统信息、地理位置、SIM 卡信息、联系人、通话记录和相册图片；UAC-0263 分发 BTMOB RAT，让攻击者控制被感染设备并外传数据。

CERT-UA 还观察到 APT28 利用漏洞投递 COVENANT 恶意软件：CVE-2026-21509 是 Microsoft Office 的一项安全特性绕过漏洞，CVE-2026-8496 是 SOGo 网页邮件客户端的零点击漏洞，前者用于投递 COVENANT，后者用于窃取受害者的邮箱凭据和数据。

该机构同时提醒，攻击者并没有放弃那些更老、经过实战检验、但不幸依然有效的路子。针对 Roundcube 网页邮件客户端 XSS 漏洞的攻击仍在出现，带宏的 Excel 文档也被用来进一步传播 COVENANT。

这些攻击属于 CERT-UA 在 2026 年上半年记录的 3,137 起网络事件之列，该数字估计比 2025 年下半年多出 8%。