러시아 국가 지원 해킹 그룹 APT28(일명 Fancy Bear)이 루마니아·스페인·튀르키예의 정부 및 외교 기관을 겨냥한 새로운 사이버 공격 캠페인을 2025년 9월부터 2026년 4월 사이에 진행한 사실이 밝혀졌습니다. 공격자들은 외교 문서처럼 꾸민 매크로(자동 실행 스크립트) 포함 워드 파일을 미끼로 사용해 **HOOKEDGE**라는 신종 백도어(몰래 시스템에 심어 원격 조작을 가능하게 하는 악성코드)를 설치했습니다. 이 백도어는 무료 웹훅(webhook) 서비스를 활용해 명령을 받고 데이터를 빼내는 방식으로, 일반 인터넷 트래픽에 섞여 탐지를 피합니다. 공격자들은 중요도가 높은 피해자에게는 5분 간격의 집중 감시 2단계 악성코드까지 추가로 설치해 더욱 정밀한 통제를 시도했습니다. 조직들은 인터넷에서 받은 워드 문서의 매크로 실행을 차단하고, 예약 작업 악용 및 웹훅 서비스로의 외부 접속을 탐지하는 방어 체계를 갖출 것이 권고됩니다.
APT28(러시아 국가 지원 해킹 그룹)이 2025년 9월~2026년 4월 사이 루마니아·스페인·튀르키예 정부·외교 기관을 대상으로 신종 백도어 HOOKEDGE를 배포하는 캠페인을 전개했다. 기존 HEADLACE 백도어의 직계 후속작으로, 매크로 포함 워드 문서로 유포됐다.
감염 시 공격자가 피해 시스템에서 원격으로 임의 명령을 실행하고 결과를 외부로 유출할 수 있다. 고가치 표적에는 5분 간격으로 명령을 수신하는 2단계 임플란트가 추가 배포돼 지속적인 정보 수집이 이뤄졌다.
피해자가 외교 문서로 위장한 워드 파일을 열고 '콘텐츠 사용' 버튼을 클릭하면 매크로가 실행돼 백도어 설치 체인이 시작된다. C2(명령·제어) 인프라로 webhook.site 같은 합법적 무료 서비스를 악용해 탐지를 우회한다.
Recorded Future Insikt Group이 캠페인을 분석해 공개했다. 조직들에게 인터넷 출처 문서의 매크로 실행 차단, 예약 작업 남용·헤드리스 Edge 실행·웹훅 서비스 외부 접속에 대한 탐지 체계 구축을 권고했다.
HOOKEDGE는 전용 인프라 없이 webhook.site를 C2로 쓰기 때문에 도메인 차단만으로는 방어가 어렵다. 그룹 정책으로 인터넷 출처 Office 문서의 매크로를 비활성화하고, 헤드리스 브라우저 프로세스 및 예약 작업 생성 이벤트를 EDR(엔드포인트 탐지·대응)로 모니터링하는 것이 핵심이다.
본문
사이버보안 연구진이 2025년 9월 말부터 2026년 4월 초 사이에 루마니아, 스페인, 튀르키예의 정부 및 외교 기관을 겨냥한 일련의 신규 캠페인을 포착했다.
Recorded Future Insikt Group에 따르면, 이 캠페인들은 HOOKEDGE라고 명명된 미공개 백도어의 배포로 이어졌다. HOOKEDGE는 외교 주제의 미끼로 꾸며진 매크로 포함 Microsoft Word 문서를 통해 유포되는 경량 Windows 배치 스크립트다. 초기 버전은 스페인 정부 자료를 사칭했으며, 한 달 뒤부터는 소셜 엔지니어링(심리적 속임수) 방식으로 전환한 것으로 알려졌다.
이 활동은 APT28(Fancy Bear, Forest Blizzard로도 불리는 러시아 국가 지원 해킹 그룹)에 중간 수준의 확신도로 귀속됐다. Mastercard 산하 사이버보안·위협 인텔리전스 기업인 Recorded Future는 이 그룹을 BlueDelta라는 명칭으로 추적하고 있다.
이 판정의 근거는 HOOKEDGE와 HEADLACE 간의 코드 및 공격 기법상 상당한 유사성이다. HEADLACE는 APT28이 2023년 4월부터 외교관 대상 공격에 사용해 온 모듈형 Windows 백도어다.
유사점으로는 핵심 아키텍처, 그리고 C2(명령·제어), 페이로드 스테이징(악성 코드 분할 전달), 데이터 유출을 위한 webhook[.]site 서비스 남용이 포함된다. 이를 통해 악성 활동이 일반 네트워크 트래픽에 혼입되며, 전용 인프라 구축의 필요성도 없어진다.
"이 임플란트는 2025년 9월부터 2026년 4월 사이에 지속적으로 개선됐다. 자동화된 샌드박스(격리 분석) 환경을 우회하고 webhook[.]site의 무료 티어 API 한도 축소에 적응하기 위한 것으로 보인다"고 Recorded Future는 목요일 분석 보고서에서 밝히며, HOOKEDGE를 "HEADLACE의 직계 진화형 후속작"이라고 설명했다.
HOOKEDGE의 주요 전달 수단은 매크로 포함 Microsoft Word 문서다. 문서를 열면 대상자에게 "콘텐츠 사용" 클릭을 유도하고, 이를 통해 매크로가 %userprofile% 디렉터리에 파일 6개를 기록한 뒤 HOOKEDGE 설치 체인을 실행한다.
체인은 30분마다 실행되는 예약 작업을 생성하는 설치 런처에서 시작된다. 이 예약 작업은 백도어를 인수로 전달하며 HOOKEDGE 런처를 실행한다. 이후 메인 설치 파일은 설치 런처, 작업 정의 파일과 함께 스스로를 디렉터리에서 삭제해 악성 활동의 흔적을 숨기고 포렌식 단서를 줄이며 침해사고 대응을 복잡하게 만든다.
미끼 문서에는 피해자가 문서를 열자마자 운영자에게 알림을 보내는 webhook[.]site URL을 참조하는 숨겨진 이미지도 포함돼 있다. HOOKEDGE 자체는 기본적인 Windows 배치 백도어로, 폴링 루프(주기적 요청 확인)에 진입해 스테이징 웹훅에서 임의의 .cmd 페이로드를 가져와 실행하고, 그 결과를 HTML 파일로 웹훅 URL에 전송하는 방식으로 원격 명령 실행을 지원한다.
명령 수신 및 데이터 유출은 Microsoft Edge를 헤드리스 모드(화면 없이 동작) 또는 숨겨진 창으로 실행한 뒤 웹훅에 HTTP 요청을 보내는 방식으로 이뤄진다. 데이터 전송이 완료되면 모든 임시 파일이 삭제되고, 창 제목이 HOOKEDGE 작업 식별자와 일치하는 모든 프로세스가 종료된다.
BlueDelta는 고가치 표적을 대상으로 비커닝(원격 신호 전송) 간격이 최소 5분인 2단계 HOOKEDGE 페이로드도 배포하는 것이 관찰됐다. 이를 통해 위협 행위자는 작업 지시와 침해 이후 상호작용 활동에 대한 더 높은 운영 통제력을 확보할 수 있다.
"2단계 아키텍처는 BlueDelta의 인프라 제약 중 하나를 완화하는 데도 도움이 된다"고 Recorded Future는 설명했다. "webhook[.]site 무료 티어는 고유 엔드포인트당 최대 100개의 요청 제한을 두고 있어, 30분 비커닝 간격이면 특정 엔드포인트의 요청 할당량이 약 2~3일 내에 소진된다."
"고우선순위 피해자를 전용 2단계 웹훅 엔드포인트로 이전함으로써 BlueDelta는 초기 접근 인프라와 실제 수집 인프라를 효과적으로 분리하고, 진행 중인 작업 지시 및 수집 활동이 초기 접근 웹훅 엔드포인트의 제한된 요청 할당량을 조기에 소진하지 않도록 한다."
이 접근 방식은 공격자들의 의도적인 선택으로 추정된다. 1단계 임플란트가 광범위한 초기 접근에 집중하는 동안, 이 단계에서 수집된 정보는 정보 가치가 더 높다고 판단되는 피해자를 식별하고 이들에 대한 수집을 강화하는 데 활용될 가능성이 높다.
또한 BlueDelta는 운영 요건에 맞게 공격 방식을 지속적으로 수정해 왔다. 문서를 열었을 때 피해자 IP 주소를 수집하던 문서 열람 카나리(탐지 장치)를 제거한 것이 그 예다. 변경 동기는 불명확하지만, 네트워크 기반 침해 지표를 줄이려는 시도로 의심된다.
이 위협에 대응하기 위해 조직들은 인터넷 출처 문서의 매크로 실행 차단을 우선시하고, 예약 작업 남용, 헤드리스 Microsoft Edge 실행, 웹훅 서비스로의 외부 접속에 대한 탐지 체계를 구축할 것이 권고된다.
"BlueDelta는 유럽 정부 및 외교 표적에 대한 정보 수집을 지원하기 위해 경량의 손쉽게 적응 가능한 초기 접근 도구에 지속적으로 투자하고 있다"고 해당 사이버보안 기업은 결론지었다. "새로운 역량을 도입하는 대신, 기존 공격 기법을 꾸준히 개선하며 진화하는 방어 조치와 인프라 제약에 맞게 기존 도구를 적응시키는 방식으로 운영 복원력을 강조하고 있다."
