HOOKEDGE : le groupe russe BlueDelta espionne des cibles diplomatiques en Roumanie, en Espagne et en Turquie

Le service de renseignement sur les menaces Recorded Future a publié un rapport détaillant une campagne d'espionnage attribuée à BlueDelta, un nom qui recouvre le groupe plus connu sous les appellations APT28, Fancy Bear ou Forest Blizzard, et rattaché par plusieurs agences occidentales à la direction du renseignement militaire russe (GRU). La cible : des organisations gouvernementales et diplomatiques en Roumanie, en Espagne et en Turquie, suivies pendant plus d'un an.

Un document piégé, une erreur affichée pour endormir la méfiance

Le point d'entrée reste classique : un e-mail de phishing contenant un document Word imitant un document officiel diplomatique, avec des macros activées. Une fois ouvert, le fichier installe une tâche planifiée Windows, efface ses traces d'exécution, puis affiche un faux message d'erreur destiné à convaincre la victime que rien d'anormal ne s'est produit.

C'est la porte dérobée qui suit, baptisée HOOKEDGE, qui retient l'attention des chercheurs. Plutôt que de communiquer directement avec un serveur contrôlé par les attaquants — ce que la plupart des outils de détection savent repérer — HOOKEDGE ouvre une instance cachée de Microsoft Edge pour contacter webhook.site, un service légitime utilisé par des développeurs du monde entier pour tester des requêtes web. Les instructions arrivent par ce canal détourné, et les résultats repartent par une seconde connexion Edge. Le trafic malveillant se noie ainsi dans du trafic web ordinaire.

Une opération patiente, ajustée au fil des mois

Recorded Future retrace la chronologie de la campagne : premier leurre identifié le 26 septembre 2025, avec un document imitant un ministère espagnol ; leurres macro génériques d'octobre à décembre 2025 ; introduction en janvier 2026 de « canaris » qui alertent les attaquants dès l'ouverture d'un e-mail ; campagnes ciblant spécifiquement la Turquie en avril 2026 ; puis suppression, en juin 2026, du canari qui signalait l'ouverture du document — signe que les opérateurs ajustent leurs outils pour réduire les traces.

Le rythme de connexion de la porte dérobée a lui aussi évolué : un battement initial toutes les 30 minutes, porté à 61 minutes sur les versions récentes, avec un second module qui accélère à 5 minutes pour les cibles jugées prioritaires. Contrainte opérationnelle notable : le quota gratuit de webhook.site, limité à 100 requêtes par point de terminaison, oblige les attaquants à faire tourner leurs infrastructures pour ne pas se faire bloquer.

En février 2026, une vague de la campagne s'est appuyée sur CVE-2026-21509, une faille d'Office déjà corrigée par Microsoft : un rappel que la plupart des compromissions liées à BlueDelta touchent des systèmes non mis à jour, pas des failles inconnues.

Deux précisions s'imposent. D'abord, l'attribution à un service de renseignement russe reste une évaluation d'une société privée de cyber-renseignement, pas une confirmation judiciaire ou gouvernementale — même si elle recoupe des années de suivi de ce groupe par d'autres chercheurs. Ensuite, malgré une couverture parfois présentée comme paneuropéenne, les cibles nommément identifiées dans ce rapport se limitent à trois pays : Roumanie, Espagne et Turquie. Aucune organisation française n'est mentionnée dans les éléments rendus publics.

Ce type de campagne s'inscrit dans une série d'opérations d'espionnage numérique visant des cibles européennes ces derniers mois, du logiciel Pegasus déployé contre un militant étudiant serbe à la cyberattaque ayant paralysé plusieurs sites du ministère français de la Transition écologique. Les vecteurs diffèrent, mais la logique reste la même : transformer des outils et services légitimes en infrastructure d'espionnage difficile à distinguer du trafic normal.

Source

Clubic, « Le coup de la pièce jointe vérolée fonctionne encore et des hackers russes s'en servent pour espionner l'Europe » ; rapport Recorded Future, « BlueDelta Targets With HOOKEDGE ».