Hackerii au folosit o metodă aparent banală pentru operațiuni de spionaj. România, printre țările vizate

România s-ar fi aflat printre țintele unei campanii de spionaj cibernetic atribuite grupului BlueDelta, despre care există evaluări că ar fi asociat Rusiei. Operațiunea ar fi vizat organizații guvernamentale și diplomatice din trei țări europene și s-ar fi desfășurat de la sfârșitul lunii septembrie 2025 până la începutul lunii aprilie 2026.

România, pe harta unei operațiuni cibernetice misterioase. Cine se află în spatele atacurilor

Potrivit publicației de specialitate Security Affairs, grupul Insikt al Recorded Future ar fi identificat o campanie atribuită BlueDelta, care ar fi urmărit colectarea de informații de la organizații guvernamentale europene. Atacatorii ar fi utilizat webhook.site drept infrastructură principală de comandă și control.

Webhook.site este un serviciu destinat dezvoltatorilor, utilizat pentru testarea cererilor HTTP. În această campanie, serviciul ar fi fost folosit ca parte a infrastructurii tehnice prin care operatorii ar fi putut comunica cu sistemele compromise.

Campania ar fi început la sfârșitul lunii septembrie 2025 și ar fi continuat până la începutul lunii aprilie 2026. Printre țările vizate s-ar fi numărat România, Spania și Turcia, organizațiile guvernamentale și diplomatice fiind principalele ținte identificate.

Documente Word folosite pentru compromiterea sistemelor

Potrivit specialiștilor, atacatorii au recurs la documente Microsoft Word care conțineau macro-uri. Fișierele erau concepute astfel încât să pară legitime și să îi determine pe destinatari să activeze conținutul inclus în document.

Activarea macro-urilor putea permite derularea etapelor ulterioare ale atacului și accesarea infrastructurii controlate de operatori. Metoda se înscrie în modul de operare descris pentru campania atribuită BlueDelta.

Insikt Group estimează, cu un grad moderat de certitudine, că activitatea observată a fost desfășurată de BlueDelta. Grupul este descris de jurnaliști drept unul care ar fi sponsorizat de statul rus.

Analiza Recorded Future indică și utilizarea unui backdoor denumit HOOKEDGE. Potrivit evaluării companiei, acesta ar reprezenta un succesor direct al HEADLACE, un instrument folosit anterior de BlueDelta și întreținut de aceiași operatori.

Legături între HOOKEDGE și HEADLACE

Recorded Future estimează că HOOKEDGE nu reprezintă un instrument creat de la zero, ci o continuare a dezvoltării unui instrument utilizat anterior. Această evoluție este considerată compatibilă cu modul de lucru atribuit BlueDelta, grup despre care se arată că își perfecționează tehnicile existente în loc să le înlocuiască prin metode complet diferite.

„Codul și designul structural al HOOKEDGE prezintă suprapuneri semnificative cu HEADLACE, o backdoor folosită de BlueDelta în campaniile anterioare”, se menționează în raport.

Potrivit evaluării Recorded Future, similitudinile dintre cele două instrumente susțin legătura dintre HOOKEDGE și activitățile atribuite anterior grupului BlueDelta. Analiza se bazează pe caracteristicile codului și pe structura celor două backdoor-uri.

Campania documentată de Insikt Group a vizat organizații guvernamentale și diplomatice din România, Spania și Turcia, pe o perioadă de aproximativ șase luni, de la sfârșitul lunii septembrie 2025 până la începutul lunii aprilie 2026.

Recorded Future estimează că BlueDelta va continua probabil operațiunile de spionaj împotriva organizațiilor guvernamentale și diplomatice europene, în special a celor implicate în probleme legate de NATO, guvernanța europeană și relațiile cu statele din fostul spațiu sovietic.