尧图网页设计 
摘要国家背景威胁组织 BlueDelta 针对欧洲多国政府及外交机构开展的 HOOKEDGE 间谍攻击活动体现出高级持续性威胁组织对公共开发者服务的新型滥用模式。该攻击活动时间跨度自 2025 年 9 月下旬至 2026 年 4 月上旬以西班牙、罗马尼亚、土耳其的政府外交相关机构为主要目标依托带宏的 Word 诱饵文档实现初始访问部署基于 Windows 批处理脚本实现的轻量级后门 HOOKEDGE复用公开 Webhook 开发者服务完成命令下发、载荷暂存与数据回传规避传统恶意域名特征检测机制。HOOKEDGE 是该组织早期 HEADLACE 载荷的迭代版本在保留原有主体架构的基础上针对沙箱检测、免费 Webhook 接口配额限制完成多轮战术优化依靠计划任务实现持久驻留执行完成后主动删除本地安装痕迹降低取证分析的可行性。本文立足于 Recorded Future 公开威胁报告材料梳理 BlueDelta 组织背景、HOOKEDGE 完整攻击链路剖析诱饵文档社会工程设计、载荷持久化机制、基于合法第三方服务的命令控制通信模式对比 HEADLACE 与 HOOKEDGE 的技术演进逻辑剖析该类 “合法服务劫持” 攻击模式带来的防御难点。反网络钓鱼技术专家芦笛指出HOOKEDGE 攻击活动最大的威胁不在于恶意代码本身技术复杂度而在于攻击者把恶意通信完全封装进正常互联网业务流量传统基于黑名单的网络检测手段会出现失效。本文同时从终端管控、邮件安全、网络流量监测、事件取证、人员安全意识多个维度提出可落地的防御处置思路为外交政务类机构应对同类高级间谍攻击提供参考。关键词BlueDeltaHOOKEDGEAPT 攻击Webhook 滥用高级社会工程间谍后门1 引言高级持续性威胁活动长期将各国政府、外交、防务相关机构作为核心情报搜集目标传统 APT 攻击普遍使用攻击者自建的恶意域名、独立服务器作为命令控制基础设施安全行业可以通过恶意域名、IP 地址黑名单完成基础阻断。随着安全防护体系持续完善威胁组织开始转变思路大量借用互联网公开合法第三方服务完成攻击链路当中的通信、存储、载荷中转环节恶意流量混杂于普通业务访问流量大幅抬高安全设备识别告警的门槛。BlueDelta 是具备国家背景的威胁集群安全行业普遍将该活动与 APT28Fancy Bear进行关联评估该组织服务于俄罗斯武装力量总参谋部军事情报总局拥有超过十年的网络间谍活动历史长期针对欧洲、中亚区域政府机构、智库、能源防务主体开展情报窃取行动。2025 年 9 月至 2026 年 4 月期间该组织发起一轮定向间谍行动使用命名为 HOOKEDGE 的批脚本后门专门针对西班牙、罗马尼亚、土耳其外交及政府部门实施渗透该载荷继承此前 HEADLACE 后门架构但在社会工程诱饵、驻留逻辑、通信基础设施、对抗沙箱层面完成多轮改进形成一套轻量化、低痕迹、依托公有开发者服务的攻击链条。本次攻击活动值得关注的现实特征有两点第一攻击载荷本身并非编译型复杂恶意程序使用 Windows 原生批处理脚本构建不需要额外投放可执行二进制文件降低邮件网关、终端防护软件静态检测的触发概率第二全程借助 webhook.site 免费开发者服务完成命令下发、载荷存储、窃取数据回传攻击者不需要维护自有 C2 服务器不存在可直接拉黑的专属恶意域名传统网络黑名单防御手段很难生效。现实安全工作当中不少机构的安全检测体系过度依赖恶意域名与 IP 黑名单对于借用知名合法公共服务的恶意通信缺少有效的识别手段同时针对 Office 宏文档的风险管控存在疏漏导致定向钓鱼邮件可以完成初始突破。反网络钓鱼技术专家芦笛强调政务外交类机构面对的 APT 钓鱼诱饵文档往往贴合真实外交事件时间线文本格式、版式高度模仿官方公文普通工作人员很难单纯依靠肉眼分辨真伪。本文完整还原 HOOKEDGE 攻击全链路解析该组织的战术演进剖析合法公共服务被滥用带来的防御困境提出分层防护方案为同类机构处置该类威胁提供理论与实践参考。2 BlueDelta 组织背景与 HOOKEDGE 攻击活动概况2.1 BlueDelta 威胁组织基本背景BlueDelta 是安全厂商 Recorded Future 所追踪命名的威胁活动集群安全研究人员基于工具链重叠、攻击战术、目标选择、基础设施关联中等置信度将该活动归属于 APT28 活动谱系也就是常说的 Fancy Bear该组织主要执行情报搜集类网络间谍任务极少开展勒索破坏类攻击行为。该组织长期聚焦欧洲区域地缘政治相关目标覆盖政府外交机构、防务产业、能源行业、政策智库攻击手段包含定向钓鱼邮件、凭证窃取页面、恶意文档投递、轻量级脚本后门等多种方式擅长使用低成本、可快速废弃的第三方互联网基础设施减少自身基础设施暴露带来的溯源风险。在 HOOKEDGE 行动之前BlueDelta 已经使用过 HEADLACE 批处理脚本后门同样依靠脚本类载荷完成主机驻留与远程命令执行HOOKEDGE 可以视作 HEADLACE 在实战对抗当中迭代而来的继任版本二者整体架构逻辑保持一致但针对实战当中遇到沙箱拦截、Webhook 免费接口调用限额等现实问题做出针对性修改提升攻击活动存活周期与成功率。2.2 HOOKEDGE 攻击活动时间线与目标范围本轮 HOOKEDGE 攻击活动观测时间窗口为 2025 年 9 月下旬至 2026 年 4 月上旬持续大约七个月时间主要瞄准西班牙、罗马尼亚、土耳其三国政府部门、外交机构以及关联防务相关主体开展间谍渗透行动。攻击者的诱饵文档设计充分结合现实地缘事件最早一批诱饵文档伪造西班牙总统府、司法部门官方会议材料文档投放时间紧贴西班牙与摩尔多瓦官员真实会晤之后契合摩尔多瓦议会选举前后的地缘情报需求诱饵具备极强场景贴合度提升目标人员打开文档并且启用宏的概率。攻击活动后期攻击者放弃复杂的外交主题伪造文档转而使用通用性更强的诱饵文档仅提示用户需要启用内容才可以正常查看在用户启用宏之后弹出伪造的 Word 报错弹窗用来掩盖恶意动作降低受害者的警觉程度。整个攻击周期内攻击者持续调整诱饵策略反映出威胁组织会根据前期攻击效果迭代社会工程手段。2.3 HOOKEDGE 载荷基础属性HOOKEDGE 不属于传统编译生成的恶意可执行程序主体是 Windows 批处理脚本配合 VBS 脚本完成辅助执行整套恶意组件全部由 Windows 系统原生能够直接解析运行的脚本文件组成不需要落地 exe 格式二进制文件。该设计思路的优势在于脚本文件本身不具备传统恶意样本的静态特征很多沙箱检测规则主要针对二进制可执行文件对脚本后门的检测能力存在短板同时脚本文件体积小巧便于通过邮件附件的形式完成投递。整套后门不内置固定的恶意行为采用模块化的工作模式主机持久驻留之后周期性从外部 Webhook 地址获取命令脚本在本地执行之后再把执行输出结果回传给另外一组 Webhook 接口攻击者可以远程下发任意系统命令实现文件读取、目录遍历、信息搜集等间谍活动所需要的各类动作。3 HOOKEDGE 完整攻击链路解析HOOKEDGE 完整攻击链路可以划分为初始访问阶段、载荷落地安装阶段、持久化驻留构建阶段、命令控制通信阶段、痕迹清除五个前后衔接的环节整套链路大量复用 Windows 系统自带功能尽量减少引入第三方程序降低被安全软件识别的概率。3.1 初始访问宏文档定向钓鱼投递攻击的入口为携带恶意宏的 Microsoft Word 文档大概率通过定向钓鱼邮件完成分发。定向钓鱼邮件会针对外交机构工作人员的身份进行包装邮件主题、附件文档名称贴合外交公务场景诱导接收人员打开附件。文档内部嵌入 AutoOpen 自动执行宏只有受害者手动点击启用文档内容宏代码才会获得执行权限这一步攻击高度依赖社会工程学需要用户完成人为确认操作不存在无用户交互的漏洞利用。诱饵文档内部还嵌入隐藏的图片资源图片引用指向攻击者控制的 webhook.site 地址。只要受害者打开文档无论是否启用宏图片加载请求就会发送至 Webhook 服务攻击者即可获得文档已经被打开的情报用来统计钓鱼诱饵触达情况判断目标人员是否阅读邮件附件为后续战术调整提供依据。3.2 载荷落地与安装流程当受害者启用宏之后宏代码开始执行会在受害者本机用户配置目录之下写入多份恶意文件包含批处理主载荷、VBS 启动器、安装程序、HTML 辅助片段等多组件文件命名采用 GUID 风格的随机名称文件名和 Webhook 端点形成对应关系方便后门程序定位通信地址。安装组件完成本地文件释放之后核心任务是创建系统计划任务以此实现后门的持久化运行。默认配置下计划任务每三十分钟触发一次启动 HOOKEDGE 主载荷完成一轮命令获取、执行、结果回传的完整周期。针对高价值情报目标攻击者还会部署第二套配置设置更高频率的任务巡检提升攻击者对被控主机的控制响应速度。安装程序在完成计划任务创建之后会主动删除自身、启动器文件、任务定义文件等安装阶段产生的中间产物。该行为的目的是缩减主机磁盘上的恶意痕迹当安全人员开展事后取证的时候安装阶段的文件已经被清除仅剩下长期驻留运行的主载荷文件增大事件溯源取证的难度。3.3 基于 Microsoft Edge 的通信实现HOOKEDGE 后门不使用专用网络工具直接调用系统预装的 Microsoft Edge 浏览器完成网络请求。每一次计划任务触发都会调用 Edge 访问指定 webhook.site 的地址下载攻击者存放于此的命令脚本内容在本地系统当中执行获取到的指令。命令执行结束之后后门会把命令输出结果封装再次借助 Edge 上传至另一组 Webhook 接口攻击者登录 webhook.site 后台就可以读取被控主机返回的全部执行结果。使用本地浏览器程序完成网络通信是该攻击非常关键的战术设计。在网络层面所有对外访问流量全部表现为 Edge 程序访问普通开发者网站 webhook.site 的 HTTPS 请求和普通办公人员日常浏览网页的流量没有明显差异网络设备很难仅凭流量特征区分正常浏览和恶意后门通信。攻击者不需要维护自己的 C2 服务器只需要使用免费 Webhook 服务提供的接口地址就可以完成指令下发与数据回传大幅降低攻击基础设施建设成本同时规避恶意域名黑名单检测。但该模式会受到 Webhook 免费版本接口调用频次的限制这也是 HOOKEDGE 对比上一代 HEADLACE 做出调整的重要动因攻击者需要控制后门轮询间隔避免短时间大量请求触发 Webhook 平台的访问限制导致通信链路中断。3.4 载荷运行与痕迹清除机制后门采取轮询工作模式没有长连接驻留只有计划任务触发的时候才会发起网络访问其余时间处于休眠状态。这种间歇式工作模式也会降低终端检测工具捕获恶意行为的机会窗口。攻击者下发的命令脚本在本地执行完成之后相关临时文件同样会做清理处理尽可能减少磁盘遗留证据。整套攻击流程结束之后主机上留存的主要痕迹只剩下计划任务条目、少量长期驻留的脚本载荷文件大量中间安装文件已经被自我删除对事后应急取证工作构成明显阻碍。4 HOOKEDGE 与 HEADLACE 载荷技术演进对比HOOKEDGE 作为 HEADLACE 的迭代版本二者核心架构保持一致都是基于 Windows 批脚本的轻量级后门依靠外部 Web 服务获取命令、回传结果依靠计划任务实现持久化都瞄准政府外交类情报目标。但在真实对抗环境下攻击者针对前期暴露出来的短板完成多方面优化体现出 APT 组织在实战当中的工具迭代逻辑。第一对抗沙箱检测能力提升。早期 HEADLACE 样本在部分自动化沙箱环境下容易被识别拦截HOOKEDGE 针对沙箱行为特征做调整增加运行条件判断提升沙箱自动分析的绕过概率。第二适配 Webhook 免费服务接口配额约束。HEADLACE 运行阶段产生大量高频网络请求免费 webhook.site 接口存在调用上限高频轮询会直接造成通信失效。HOOKEDGE 调整轮询策略默认设置三十分钟的基础轮询间隔在兼顾情报收集需求的前提下适配免费公共服务的访问限制保证攻击链路可以长期稳定运行只有高价值目标才启用更高频率的巡检配置。第三社会工程诱饵迭代。HEADLACE 相关活动的诱饵形式相对单一HOOKEDGE 攻击周期内先后使用高仿外交公文诱饵、通用启用内容诱饵搭配伪造报错弹窗两套方案当第一类诱饵效果下降之后快速切换到第二种欺骗模式提升钓鱼突破成功率。第四本地痕迹清理流程进一步完善。HOOKEDGE 安装脚本对安装过程产生的各类中间文件、任务定义文件执行删除操作相比 HEADLACE 进一步压缩系统本地留存的攻击证据提高应急响应取证难度。反网络钓鱼技术专家芦笛指出很多安全从业者会产生误区认为高级 APT 攻击一定依靠复杂零日漏洞、高度复杂的恶意二进制程序。HOOKEDGE 和 HEADLACE 这一类载荷恰恰说明部分国家背景间谍组织更加看重工具的实用性、隐蔽性原生脚本、系统自带组件结合合法第三方互联网服务就可以构建一套完整有效的间谍攻击链条。5 HOOKEDGE 攻击模式带来的防御现实困境HOOKEDGE 所代表的 “滥用合法公共服务完成攻击通信” 的攻击模式对传统安全防护体系带来多重挑战传统防御手段会出现不同程度失效需要客观认清现有防护体系的短板。5.1 网络黑名单机制的局限性传统网络安全防御大量依靠恶意域名、恶意 IP 地址黑名单进行阻断。而 HOOKEDGE 全程使用 webhook.site 这一公开正常开发者平台域名该域名被大量正常业务开发人员使用安全机构无法直接将整个域名加入黑名单一旦全盘阻断会影响内部正常业务开发调试工作。攻击者只需要在该平台生成专属的接口路径就可以完成命令控制网络侧只能看到访问知名合法域名无法依靠域名黑名单识别恶意行为这是该类攻击最核心的防御难点。5.2 脚本类后门静态检测难度较高HOOKEDGE 主体为 Windows 批脚本没有传统恶意软件的二进制特征。批脚本本身是系统原生合法文件脚本内容本身没有明显恶意字符串核心通信地址放置在外部 Webhook 平台本地脚本文件当中不存在硬编码的恶意服务器地址。静态扫描很难直接判定脚本的威胁属性很多终端防护产品规则库重点针对 exe、dll 等二进制文件对脚本后门的检测覆盖不足。5.3 Office 宏钓鱼仍然是重要突破入口尽管微软新版本 Office 默认已经禁用宏但是定向 APT 钓鱼仍然大量依靠宏文档作为初始突破口。社会工程欺骗可以诱导用户手动开启内容完成恶意代码执行。政务外交机构日常会接收大量外部公文附件工作人员存在打开外来文档的现实业务需求钓鱼诱饵又高度模仿真实公务文件进一步放大宏文档钓鱼的风险。单纯依靠技术层面关闭宏并不能完全解决问题一旦业务需要启用宏就会重新暴露攻击面。5.4 事后取证的证据留存难题HOOKEDGE 在安装阶段会主动删除大量中间文件攻击运行过程以间歇轮询模式开展没有持续驻留进程。安全人员在发生入侵事件之后开展取证磁盘上可用于溯源的证据材料被大量消减增加还原完整攻击链路、定位攻击入口的工作难度部分机构甚至无法确认入侵发生的准确时间点。5.5 沙箱检测面临对抗优化攻击者已经针对自动化沙箱环境进行适配修改HOOKEDGE 增加了沙箱绕过相关逻辑普通邮件沙箱、样本分析沙箱有可能无法触发完整恶意行为造成沙箱分析结果误判为安全文档威胁样本直接放行到达工作人员邮箱。6 针对 HOOKEDGE 同类攻击的分层防御与处置策略针对以 HOOKEDGE 为代表依托定向钓鱼、脚本后门、合法第三方服务通信的 APT 间谍攻击不能依靠单一安全产品实现全面防护需要从邮件安全、终端管控、网络流量分析、身份安全、人员意识、应急取证多个层面构建分层防御体系。6.6 邮件安全与附件管控定向钓鱼邮件是该攻击的首要入口需要强化邮件安全防线。第一严格管控外来 Office 文档宏执行权限针对外部发件人投递的 Word 文档默认阻止宏运行仅对可信内部来源文档开放宏能力。第二对高风险附件类型进行深度沙箱检测针对来自境外外交相关来源的文档重点开展沙箱分析同时需要意识到沙箱存在被绕过的可能性不能把沙箱结果作为唯一判断依据。第三开展邮件内容规则校验针对模仿本国政府外交机构公文格式、外交会议主题的外来邮件附件进行重点告警提升安全人员的人工复核优先级。6.2 终端层面安全管控终端侧需要针对脚本后门、计划任务两个关键点做好检测。第一监控 Windows 计划任务的创建行为重点告警普通用户配置目录下短时间内新建的高频轮询计划任务尤其是调用脚本文件的计划任务HOOKEDGE 的持久化依赖计划任务该行为是重要检测线索。第二对系统批脚本、VBS 脚本执行行为进行审计重点关注脚本文件由 Office 文档触发生成并执行的场景记录脚本调用浏览器发起网络访问的行为。第三做好终端日志留存延长日志保存周期为后续应急取证保留基础数据即便恶意文件被删除系统日志仍然可以还原大部分操作行为。6.3 网络流量检测由黑名单转向行为分析面对滥用合法公共域名的攻击单纯域名黑名单已经很难起效网络检测需要转向行为维度的分析。安全团队需要关注业务环境当中异常行为特征普通办公终端使用浏览器高频访问 webhook.site 等开发者测试服务终端在没有业务需求的前提下周期性向该类站点发起 HTTPS 请求浏览器访问外部站点之后短时间内主机产生大量系统命令执行行为。上述行为组合起来就可以作为告警线索而不是简单拦截域名。同时网络安全人员需要梳理内部业务明确哪些业务确实需要访问 Webhook 类开发者站点建立白名单基线减少误告警。6.4 人员安全意识专项培训反网络钓鱼技术专家芦笛强调APT 定向钓鱼诱饵往往贴合真实外交事件普通员工很难单纯依靠自己分辨文档真伪单纯通用钓鱼培训不足以应对此类定向攻击。面向外交、政务机构工作人员需要开展定向场景的安全培训重点告知来自外部陌生发送方的公文附件即便看起来格式、主题高度贴合现实事件也不应当随意启用宏收到可疑外交主题邮件优先通过电话、线下渠道核实邮件真实性而不是直接打开附件启用内容。同时建立便捷的可疑邮件上报渠道方便工作人员快速提交可疑邮件给安全团队复核。6.5 入侵事件应急与取证处置预案机构需要提前完善针对 APT 间谍入侵的应急处置预案。一旦怀疑发生类似 HOOKEDGE 的入侵第一时间隔离受影响终端但不要直接关机保留内存与系统日志优先提取计划任务列表、脚本执行日志、浏览器访问日志不要直接删除可疑计划任务与脚本防止破坏取证线索。重点排查用户配置目录下随机 GUID 命名的脚本、HTML 文件排查浏览器访问历史当中 webhook.site 类开发者站点访问记录。同时需要意识到攻击者会通过 Webhook 获取命令被控主机的攻击者可以随时下发新指令清除本地痕迹所以应急处置需要尽快切断被控主机网络再开展取证分析。6.6 威胁情报持续跟踪该类攻击会持续迭代工具和战术安全机构需要持续跟踪对应威胁组织的公开情报重点关注脚本后门、第三方公共服务滥用相关战术及时更新检测规则。同时关注同类外交防务机构的安全事件披露做到提前感知新的攻击手段。7 结语BlueDelta 组织发起的 HOOKEDGE 间谍攻击活动是现代国家背景 APT 攻击极具代表性的案例。该攻击并不依靠复杂漏洞或者高难度恶意二进制程序将定向社会工程钓鱼、Windows 原生脚本后门、计划任务持久化与公开免费 Webhook 开发者服务相互结合形成一套隐蔽、低成本、可迭代的间谍攻击链路针对欧洲多国政府外交机构开展长达七个月的情报窃取行动。HOOKEDGE 是前代 HEADLACE 后门的持续演进产物攻击者根据实战当中遇到沙箱拦截、第三方平台接口配额等现实约束不断调整载荷逻辑、诱饵文档、轮询策略体现出高级威胁组织工具链随实战对抗持续优化的客观现实。该攻击暴露传统安全防护体系的短板当攻击者不使用自有恶意 C2 基础设施而是劫持合法互联网公共服务完成命令控制与数据外发基于域名黑名单的防御手段会出现失效脚本类轻量级后门加上攻击组件运行完成之后主动清理本地痕迹进一步抬高检测和事后取证的难度。防御 HOOKEDGE 这类 APT 间谍攻击不存在单一技术手段可以实现完全阻断需要邮件附件管控、终端行为审计、网络行为分析、人员安全意识建设、应急取证预案多维度配合。网络安全团队需要跳出单纯依赖黑名单的防护思路把检测重心从识别恶意域名转向识别异常行为组合重点关注 Office 文档触发脚本执行、异常计划任务、普通办公终端周期性访问开发者测试站点等行为线索。攻防对抗会持续演进未来会出现更多滥用各类合法公有云、开发者服务的攻击手段。政务外交等高价值目标机构需要持续跟踪威胁情报不断完善分层防护体系提升对新型 APT 间谍攻击的识别、检测与应急处置能力。编辑芦笛公共互联网反网络钓鱼工作组 BlueDelta 组织 HOOKEDGE 后门攻击活动技术与威胁研究
摘要国家背景威胁组织 BlueDelta 针对欧洲多国政府及外交机构开展的 HOOKEDGE 间谍攻击活动体现出高级持续性威胁组织对公共开发者服务的新型滥用模式。该攻击活动时间跨度自 2025 年 9 月下旬至 2026 年 4 月上旬以西班牙、罗马尼亚、土耳其的政府外交相关机构为主要目标依托带宏的 Word 诱饵文档实现初始访问部署基于 Windows 批处理脚本实现的轻量级后门 HOOKEDGE复用公开 Webhook 开发者服务完成命令下发、载荷暂存与数据回传规避传统恶意域名特征检测机制。HOOKEDGE 是该组织早期 HEADLACE 载荷的迭代版本在保留原有主体架构的基础上针对沙箱检测、免费 Webhook 接口配额限制完成多轮战术优化依靠计划任务实现持久驻留执行完成后主动删除本地安装痕迹降低取证分析的可行性。本文立足于 Recorded Future 公开威胁报告材料梳理 BlueDelta 组织背景、HOOKEDGE 完整攻击链路剖析诱饵文档社会工程设计、载荷持久化机制、基于合法第三方服务的命令控制通信模式对比 HEADLACE 与 HOOKEDGE 的技术演进逻辑剖析该类 “合法服务劫持” 攻击模式带来的防御难点。反网络钓鱼技术专家芦笛指出HOOKEDGE 攻击活动最大的威胁不在于恶意代码本身技术复杂度而在于攻击者把恶意通信完全封装进正常互联网业务流量传统基于黑名单的网络检测手段会出现失效。本文同时从终端管控、邮件安全、网络流量监测、事件取证、人员安全意识多个维度提出可落地的防御处置思路为外交政务类机构应对同类高级间谍攻击提供参考。关键词BlueDeltaHOOKEDGEAPT 攻击Webhook 滥用高级社会工程间谍后门1 引言高级持续性威胁活动长期将各国政府、外交、防务相关机构作为核心情报搜集目标传统 APT 攻击普遍使用攻击者自建的恶意域名、独立服务器作为命令控制基础设施安全行业可以通过恶意域名、IP 地址黑名单完成基础阻断。随着安全防护体系持续完善威胁组织开始转变思路大量借用互联网公开合法第三方服务完成攻击链路当中的通信、存储、载荷中转环节恶意流量混杂于普通业务访问流量大幅抬高安全设备识别告警的门槛。BlueDelta 是具备国家背景的威胁集群安全行业普遍将该活动与 APT28Fancy Bear进行关联评估该组织服务于俄罗斯武装力量总参谋部军事情报总局拥有超过十年的网络间谍活动历史长期针对欧洲、中亚区域政府机构、智库、能源防务主体开展情报窃取行动。2025 年 9 月至 2026 年 4 月期间该组织发起一轮定向间谍行动使用命名为 HOOKEDGE 的批脚本后门专门针对西班牙、罗马尼亚、土耳其外交及政府部门实施渗透该载荷继承此前 HEADLACE 后门架构但在社会工程诱饵、驻留逻辑、通信基础设施、对抗沙箱层面完成多轮改进形成一套轻量化、低痕迹、依托公有开发者服务的攻击链条。本次攻击活动值得关注的现实特征有两点第一攻击载荷本身并非编译型复杂恶意程序使用 Windows 原生批处理脚本构建不需要额外投放可执行二进制文件降低邮件网关、终端防护软件静态检测的触发概率第二全程借助 webhook.site 免费开发者服务完成命令下发、载荷存储、窃取数据回传攻击者不需要维护自有 C2 服务器不存在可直接拉黑的专属恶意域名传统网络黑名单防御手段很难生效。现实安全工作当中不少机构的安全检测体系过度依赖恶意域名与 IP 黑名单对于借用知名合法公共服务的恶意通信缺少有效的识别手段同时针对 Office 宏文档的风险管控存在疏漏导致定向钓鱼邮件可以完成初始突破。反网络钓鱼技术专家芦笛强调政务外交类机构面对的 APT 钓鱼诱饵文档往往贴合真实外交事件时间线文本格式、版式高度模仿官方公文普通工作人员很难单纯依靠肉眼分辨真伪。本文完整还原 HOOKEDGE 攻击全链路解析该组织的战术演进剖析合法公共服务被滥用带来的防御困境提出分层防护方案为同类机构处置该类威胁提供理论与实践参考。2 BlueDelta 组织背景与 HOOKEDGE 攻击活动概况2.1 BlueDelta 威胁组织基本背景BlueDelta 是安全厂商 Recorded Future 所追踪命名的威胁活动集群安全研究人员基于工具链重叠、攻击战术、目标选择、基础设施关联中等置信度将该活动归属于 APT28 活动谱系也就是常说的 Fancy Bear该组织主要执行情报搜集类网络间谍任务极少开展勒索破坏类攻击行为。该组织长期聚焦欧洲区域地缘政治相关目标覆盖政府外交机构、防务产业、能源行业、政策智库攻击手段包含定向钓鱼邮件、凭证窃取页面、恶意文档投递、轻量级脚本后门等多种方式擅长使用低成本、可快速废弃的第三方互联网基础设施减少自身基础设施暴露带来的溯源风险。在 HOOKEDGE 行动之前BlueDelta 已经使用过 HEADLACE 批处理脚本后门同样依靠脚本类载荷完成主机驻留与远程命令执行HOOKEDGE 可以视作 HEADLACE 在实战对抗当中迭代而来的继任版本二者整体架构逻辑保持一致但针对实战当中遇到沙箱拦截、Webhook 免费接口调用限额等现实问题做出针对性修改提升攻击活动存活周期与成功率。2.2 HOOKEDGE 攻击活动时间线与目标范围本轮 HOOKEDGE 攻击活动观测时间窗口为 2025 年 9 月下旬至 2026 年 4 月上旬持续大约七个月时间主要瞄准西班牙、罗马尼亚、土耳其三国政府部门、外交机构以及关联防务相关主体开展间谍渗透行动。攻击者的诱饵文档设计充分结合现实地缘事件最早一批诱饵文档伪造西班牙总统府、司法部门官方会议材料文档投放时间紧贴西班牙与摩尔多瓦官员真实会晤之后契合摩尔多瓦议会选举前后的地缘情报需求诱饵具备极强场景贴合度提升目标人员打开文档并且启用宏的概率。攻击活动后期攻击者放弃复杂的外交主题伪造文档转而使用通用性更强的诱饵文档仅提示用户需要启用内容才可以正常查看在用户启用宏之后弹出伪造的 Word 报错弹窗用来掩盖恶意动作降低受害者的警觉程度。整个攻击周期内攻击者持续调整诱饵策略反映出威胁组织会根据前期攻击效果迭代社会工程手段。2.3 HOOKEDGE 载荷基础属性HOOKEDGE 不属于传统编译生成的恶意可执行程序主体是 Windows 批处理脚本配合 VBS 脚本完成辅助执行整套恶意组件全部由 Windows 系统原生能够直接解析运行的脚本文件组成不需要落地 exe 格式二进制文件。该设计思路的优势在于脚本文件本身不具备传统恶意样本的静态特征很多沙箱检测规则主要针对二进制可执行文件对脚本后门的检测能力存在短板同时脚本文件体积小巧便于通过邮件附件的形式完成投递。整套后门不内置固定的恶意行为采用模块化的工作模式主机持久驻留之后周期性从外部 Webhook 地址获取命令脚本在本地执行之后再把执行输出结果回传给另外一组 Webhook 接口攻击者可以远程下发任意系统命令实现文件读取、目录遍历、信息搜集等间谍活动所需要的各类动作。3 HOOKEDGE 完整攻击链路解析HOOKEDGE 完整攻击链路可以划分为初始访问阶段、载荷落地安装阶段、持久化驻留构建阶段、命令控制通信阶段、痕迹清除五个前后衔接的环节整套链路大量复用 Windows 系统自带功能尽量减少引入第三方程序降低被安全软件识别的概率。3.1 初始访问宏文档定向钓鱼投递攻击的入口为携带恶意宏的 Microsoft Word 文档大概率通过定向钓鱼邮件完成分发。定向钓鱼邮件会针对外交机构工作人员的身份进行包装邮件主题、附件文档名称贴合外交公务场景诱导接收人员打开附件。文档内部嵌入 AutoOpen 自动执行宏只有受害者手动点击启用文档内容宏代码才会获得执行权限这一步攻击高度依赖社会工程学需要用户完成人为确认操作不存在无用户交互的漏洞利用。诱饵文档内部还嵌入隐藏的图片资源图片引用指向攻击者控制的 webhook.site 地址。只要受害者打开文档无论是否启用宏图片加载请求就会发送至 Webhook 服务攻击者即可获得文档已经被打开的情报用来统计钓鱼诱饵触达情况判断目标人员是否阅读邮件附件为后续战术调整提供依据。3.2 载荷落地与安装流程当受害者启用宏之后宏代码开始执行会在受害者本机用户配置目录之下写入多份恶意文件包含批处理主载荷、VBS 启动器、安装程序、HTML 辅助片段等多组件文件命名采用 GUID 风格的随机名称文件名和 Webhook 端点形成对应关系方便后门程序定位通信地址。安装组件完成本地文件释放之后核心任务是创建系统计划任务以此实现后门的持久化运行。默认配置下计划任务每三十分钟触发一次启动 HOOKEDGE 主载荷完成一轮命令获取、执行、结果回传的完整周期。针对高价值情报目标攻击者还会部署第二套配置设置更高频率的任务巡检提升攻击者对被控主机的控制响应速度。安装程序在完成计划任务创建之后会主动删除自身、启动器文件、任务定义文件等安装阶段产生的中间产物。该行为的目的是缩减主机磁盘上的恶意痕迹当安全人员开展事后取证的时候安装阶段的文件已经被清除仅剩下长期驻留运行的主载荷文件增大事件溯源取证的难度。3.3 基于 Microsoft Edge 的通信实现HOOKEDGE 后门不使用专用网络工具直接调用系统预装的 Microsoft Edge 浏览器完成网络请求。每一次计划任务触发都会调用 Edge 访问指定 webhook.site 的地址下载攻击者存放于此的命令脚本内容在本地系统当中执行获取到的指令。命令执行结束之后后门会把命令输出结果封装再次借助 Edge 上传至另一组 Webhook 接口攻击者登录 webhook.site 后台就可以读取被控主机返回的全部执行结果。使用本地浏览器程序完成网络通信是该攻击非常关键的战术设计。在网络层面所有对外访问流量全部表现为 Edge 程序访问普通开发者网站 webhook.site 的 HTTPS 请求和普通办公人员日常浏览网页的流量没有明显差异网络设备很难仅凭流量特征区分正常浏览和恶意后门通信。攻击者不需要维护自己的 C2 服务器只需要使用免费 Webhook 服务提供的接口地址就可以完成指令下发与数据回传大幅降低攻击基础设施建设成本同时规避恶意域名黑名单检测。但该模式会受到 Webhook 免费版本接口调用频次的限制这也是 HOOKEDGE 对比上一代 HEADLACE 做出调整的重要动因攻击者需要控制后门轮询间隔避免短时间大量请求触发 Webhook 平台的访问限制导致通信链路中断。3.4 载荷运行与痕迹清除机制后门采取轮询工作模式没有长连接驻留只有计划任务触发的时候才会发起网络访问其余时间处于休眠状态。这种间歇式工作模式也会降低终端检测工具捕获恶意行为的机会窗口。攻击者下发的命令脚本在本地执行完成之后相关临时文件同样会做清理处理尽可能减少磁盘遗留证据。整套攻击流程结束之后主机上留存的主要痕迹只剩下计划任务条目、少量长期驻留的脚本载荷文件大量中间安装文件已经被自我删除对事后应急取证工作构成明显阻碍。4 HOOKEDGE 与 HEADLACE 载荷技术演进对比HOOKEDGE 作为 HEADLACE 的迭代版本二者核心架构保持一致都是基于 Windows 批脚本的轻量级后门依靠外部 Web 服务获取命令、回传结果依靠计划任务实现持久化都瞄准政府外交类情报目标。但在真实对抗环境下攻击者针对前期暴露出来的短板完成多方面优化体现出 APT 组织在实战当中的工具迭代逻辑。第一对抗沙箱检测能力提升。早期 HEADLACE 样本在部分自动化沙箱环境下容易被识别拦截HOOKEDGE 针对沙箱行为特征做调整增加运行条件判断提升沙箱自动分析的绕过概率。第二适配 Webhook 免费服务接口配额约束。HEADLACE 运行阶段产生大量高频网络请求免费 webhook.site 接口存在调用上限高频轮询会直接造成通信失效。HOOKEDGE 调整轮询策略默认设置三十分钟的基础轮询间隔在兼顾情报收集需求的前提下适配免费公共服务的访问限制保证攻击链路可以长期稳定运行只有高价值目标才启用更高频率的巡检配置。第三社会工程诱饵迭代。HEADLACE 相关活动的诱饵形式相对单一HOOKEDGE 攻击周期内先后使用高仿外交公文诱饵、通用启用内容诱饵搭配伪造报错弹窗两套方案当第一类诱饵效果下降之后快速切换到第二种欺骗模式提升钓鱼突破成功率。第四本地痕迹清理流程进一步完善。HOOKEDGE 安装脚本对安装过程产生的各类中间文件、任务定义文件执行删除操作相比 HEADLACE 进一步压缩系统本地留存的攻击证据提高应急响应取证难度。反网络钓鱼技术专家芦笛指出很多安全从业者会产生误区认为高级 APT 攻击一定依靠复杂零日漏洞、高度复杂的恶意二进制程序。HOOKEDGE 和 HEADLACE 这一类载荷恰恰说明部分国家背景间谍组织更加看重工具的实用性、隐蔽性原生脚本、系统自带组件结合合法第三方互联网服务就可以构建一套完整有效的间谍攻击链条。5 HOOKEDGE 攻击模式带来的防御现实困境HOOKEDGE 所代表的 “滥用合法公共服务完成攻击通信” 的攻击模式对传统安全防护体系带来多重挑战传统防御手段会出现不同程度失效需要客观认清现有防护体系的短板。5.1 网络黑名单机制的局限性传统网络安全防御大量依靠恶意域名、恶意 IP 地址黑名单进行阻断。而 HOOKEDGE 全程使用 webhook.site 这一公开正常开发者平台域名该域名被大量正常业务开发人员使用安全机构无法直接将整个域名加入黑名单一旦全盘阻断会影响内部正常业务开发调试工作。攻击者只需要在该平台生成专属的接口路径就可以完成命令控制网络侧只能看到访问知名合法域名无法依靠域名黑名单识别恶意行为这是该类攻击最核心的防御难点。5.2 脚本类后门静态检测难度较高HOOKEDGE 主体为 Windows 批脚本没有传统恶意软件的二进制特征。批脚本本身是系统原生合法文件脚本内容本身没有明显恶意字符串核心通信地址放置在外部 Webhook 平台本地脚本文件当中不存在硬编码的恶意服务器地址。静态扫描很难直接判定脚本的威胁属性很多终端防护产品规则库重点针对 exe、dll 等二进制文件对脚本后门的检测覆盖不足。5.3 Office 宏钓鱼仍然是重要突破入口尽管微软新版本 Office 默认已经禁用宏但是定向 APT 钓鱼仍然大量依靠宏文档作为初始突破口。社会工程欺骗可以诱导用户手动开启内容完成恶意代码执行。政务外交机构日常会接收大量外部公文附件工作人员存在打开外来文档的现实业务需求钓鱼诱饵又高度模仿真实公务文件进一步放大宏文档钓鱼的风险。单纯依靠技术层面关闭宏并不能完全解决问题一旦业务需要启用宏就会重新暴露攻击面。5.4 事后取证的证据留存难题HOOKEDGE 在安装阶段会主动删除大量中间文件攻击运行过程以间歇轮询模式开展没有持续驻留进程。安全人员在发生入侵事件之后开展取证磁盘上可用于溯源的证据材料被大量消减增加还原完整攻击链路、定位攻击入口的工作难度部分机构甚至无法确认入侵发生的准确时间点。5.5 沙箱检测面临对抗优化攻击者已经针对自动化沙箱环境进行适配修改HOOKEDGE 增加了沙箱绕过相关逻辑普通邮件沙箱、样本分析沙箱有可能无法触发完整恶意行为造成沙箱分析结果误判为安全文档威胁样本直接放行到达工作人员邮箱。6 针对 HOOKEDGE 同类攻击的分层防御与处置策略针对以 HOOKEDGE 为代表依托定向钓鱼、脚本后门、合法第三方服务通信的 APT 间谍攻击不能依靠单一安全产品实现全面防护需要从邮件安全、终端管控、网络流量分析、身份安全、人员意识、应急取证多个层面构建分层防御体系。6.6 邮件安全与附件管控定向钓鱼邮件是该攻击的首要入口需要强化邮件安全防线。第一严格管控外来 Office 文档宏执行权限针对外部发件人投递的 Word 文档默认阻止宏运行仅对可信内部来源文档开放宏能力。第二对高风险附件类型进行深度沙箱检测针对来自境外外交相关来源的文档重点开展沙箱分析同时需要意识到沙箱存在被绕过的可能性不能把沙箱结果作为唯一判断依据。第三开展邮件内容规则校验针对模仿本国政府外交机构公文格式、外交会议主题的外来邮件附件进行重点告警提升安全人员的人工复核优先级。6.2 终端层面安全管控终端侧需要针对脚本后门、计划任务两个关键点做好检测。第一监控 Windows 计划任务的创建行为重点告警普通用户配置目录下短时间内新建的高频轮询计划任务尤其是调用脚本文件的计划任务HOOKEDGE 的持久化依赖计划任务该行为是重要检测线索。第二对系统批脚本、VBS 脚本执行行为进行审计重点关注脚本文件由 Office 文档触发生成并执行的场景记录脚本调用浏览器发起网络访问的行为。第三做好终端日志留存延长日志保存周期为后续应急取证保留基础数据即便恶意文件被删除系统日志仍然可以还原大部分操作行为。6.3 网络流量检测由黑名单转向行为分析面对滥用合法公共域名的攻击单纯域名黑名单已经很难起效网络检测需要转向行为维度的分析。安全团队需要关注业务环境当中异常行为特征普通办公终端使用浏览器高频访问 webhook.site 等开发者测试服务终端在没有业务需求的前提下周期性向该类站点发起 HTTPS 请求浏览器访问外部站点之后短时间内主机产生大量系统命令执行行为。上述行为组合起来就可以作为告警线索而不是简单拦截域名。同时网络安全人员需要梳理内部业务明确哪些业务确实需要访问 Webhook 类开发者站点建立白名单基线减少误告警。6.4 人员安全意识专项培训反网络钓鱼技术专家芦笛强调APT 定向钓鱼诱饵往往贴合真实外交事件普通员工很难单纯依靠自己分辨文档真伪单纯通用钓鱼培训不足以应对此类定向攻击。面向外交、政务机构工作人员需要开展定向场景的安全培训重点告知来自外部陌生发送方的公文附件即便看起来格式、主题高度贴合现实事件也不应当随意启用宏收到可疑外交主题邮件优先通过电话、线下渠道核实邮件真实性而不是直接打开附件启用内容。同时建立便捷的可疑邮件上报渠道方便工作人员快速提交可疑邮件给安全团队复核。6.5 入侵事件应急与取证处置预案机构需要提前完善针对 APT 间谍入侵的应急处置预案。一旦怀疑发生类似 HOOKEDGE 的入侵第一时间隔离受影响终端但不要直接关机保留内存与系统日志优先提取计划任务列表、脚本执行日志、浏览器访问日志不要直接删除可疑计划任务与脚本防止破坏取证线索。重点排查用户配置目录下随机 GUID 命名的脚本、HTML 文件排查浏览器访问历史当中 webhook.site 类开发者站点访问记录。同时需要意识到攻击者会通过 Webhook 获取命令被控主机的攻击者可以随时下发新指令清除本地痕迹所以应急处置需要尽快切断被控主机网络再开展取证分析。6.6 威胁情报持续跟踪该类攻击会持续迭代工具和战术安全机构需要持续跟踪对应威胁组织的公开情报重点关注脚本后门、第三方公共服务滥用相关战术及时更新检测规则。同时关注同类外交防务机构的安全事件披露做到提前感知新的攻击手段。7 结语BlueDelta 组织发起的 HOOKEDGE 间谍攻击活动是现代国家背景 APT 攻击极具代表性的案例。该攻击并不依靠复杂漏洞或者高难度恶意二进制程序将定向社会工程钓鱼、Windows 原生脚本后门、计划任务持久化与公开免费 Webhook 开发者服务相互结合形成一套隐蔽、低成本、可迭代的间谍攻击链路针对欧洲多国政府外交机构开展长达七个月的情报窃取行动。HOOKEDGE 是前代 HEADLACE 后门的持续演进产物攻击者根据实战当中遇到沙箱拦截、第三方平台接口配额等现实约束不断调整载荷逻辑、诱饵文档、轮询策略体现出高级威胁组织工具链随实战对抗持续优化的客观现实。该攻击暴露传统安全防护体系的短板当攻击者不使用自有恶意 C2 基础设施而是劫持合法互联网公共服务完成命令控制与数据外发基于域名黑名单的防御手段会出现失效脚本类轻量级后门加上攻击组件运行完成之后主动清理本地痕迹进一步抬高检测和事后取证的难度。防御 HOOKEDGE 这类 APT 间谍攻击不存在单一技术手段可以实现完全阻断需要邮件附件管控、终端行为审计、网络行为分析、人员安全意识建设、应急取证预案多维度配合。网络安全团队需要跳出单纯依赖黑名单的防护思路把检测重心从识别恶意域名转向识别异常行为组合重点关注 Office 文档触发脚本执行、异常计划任务、普通办公终端周期性访问开发者测试站点等行为线索。攻防对抗会持续演进未来会出现更多滥用各类合法公有云、开发者服务的攻击手段。政务外交等高价值目标机构需要持续跟踪威胁情报不断完善分层防护体系提升对新型 APT 间谍攻击的识别、检测与应急处置能力。编辑芦笛公共互联网反网络钓鱼工作组