המסמך נראה תמים, ומי שפתח אותו ראה בקשה ללחוץ על "Enable Content" כדי להציג את התוכן. מי שלחץ קיבל מיד הודעת שגיאה של Word, כאילו הקובץ פשוט לא נפתח כמו שצריך. ההודעה הזאת מזויפת, וזה כל תפקידה: לגרום לקורא להרים גבה, למשוך בכתפיים ולעבור הלאה. עד שהיא הופיעה על המסך כבר נכתבו שישה קבצים לתיקיית המשתמש, ובמערכת נרשמה משימה מתוזמנת שרצה כל שלושים דקות.

את שרשרת ההדבקה הזאת תיעדו חוקרי Insikt Group, זרוע המחקר של Recorded Future, בדוח שפרסמו ביום חמישי. הם עוקבים אחרי סדרת קמפיינים שנמשכה מסוף ספטמבר 2025 ועד תחילת אפריל 2026, ומייחסים אותה בביטחון בינוני לקבוצה שהם מכנים BlueDelta. הכלי המרכזי בקמפיינים הוא דלת אחורית חדשה בשם HOOKEDGE, ומה שמעניין בה הוא לא התחכום אלא כמה מעט היא צריכה: היא כתובה כולה כקובץ batch של Windows, בלי קובץ הרצה משלה, ובלי שרת אחד שהתוקפים מחזיקים בעצמם. נעבור על הדרך שבה היא מגיעה למחשב, על השיטה שבה היא מקבלת פקודות בלי תשתית משלה, ועל מגבלה טכנית קטנה בשירות אינטרנט חינמי שקבעה בפועל את קצב המבצע כולו.

מי עומדת מאחורי הקמפיין, ולמה רומניה, ספרד וטורקיה

BlueDelta הוא השם ש-Recorded Future נותנת לפעילות שחופפת לקבוצה המוכרת בשמות APT28, Fancy Bear ו-Forest Blizzard, ומיוחסת למודיעין הצבאי הרוסי (GRU). הקבוצה מריצה מבצעי ריגול כבר יותר מעשור, וההיסטוריה שלה עקבית למדי: השגת דריסת רגל ראשונית דרך פישינג ממוקד וגניבת פרטי אימות, בעזרת כלים קלים שנכתבים למשימה ומוחלפים ברגע שהם צוברים כיסוי בהגנות. לפי הדוח, הקמפיינים האלה כוונו לארגוני ממשל ודיפלומטיה וליצרניות ביטחוניות ברומניה, בספרד ובטורקיה.

הפיתיון הראשון שאותר, מ-26 בספטמבר 2025, לא נבחר במקרה. הוא התחזה לחומר של המשרד הספרדי לנשיאות, למשפטים וליחסים עם הקורטס, ונוצר זמן קצר אחרי פגישה של אותו משרד עם גורמים מולדובים ב-8 בספטמבר, שבועות ספורים לפני הבחירות לפרלמנט במולדובה. החוקרים מעריכים בביטחון בינוני שדפוס היעדים משקף איסוף מודיעין רוסי מול גורמים דיפלומטיים אירופיים, בדגש על מי שעוסק בענייני מולדובה ובממשל אירופי שקרוב לנאט"ו. הייחוס עצמו נשען על חפיפה משמעותית בקוד ובשיטות העבודה מול HEADLACE, דלת אחורית שהקבוצה הפעילה בקמפיינים קודמים, ועל דפוסי תשתית עקביים.

מאוקטובר 2025 הפיתיונות דווקא הפכו גנריים. במקום מסמך דיפלומטי משכנע קיבלו הנמענים תוכן חסר פשר או סתם בקשה לאשר את התוכן, וזו הגרסה שאחריה קופצת הודעת השגיאה המזויפת. Insikt Group מציעים שהמעבר הזה יכול להעיד על הרחבת מעגל היעדים, ומעריכים שהקמפיינים של אותה תקופה כוונו בעיקר למוסדות ברומניה.

כשמסמך אחד מייצר שישה קבצים

כשהנמען מאשר את המאקרו, שגרת AutoOpen של המסמך רצה מיד וכותבת שישה קבצים לתיקיית המשתמש. אחד מהם הוא HOOKEDGE עצמו, קובץ ה-bat; שני הוא המשגר שמפעיל אותו; שלישי הוא ההתקנה, ורביעי הוא המשגר של ההתקנה. שני הנותרים הם קטעי HTML, כותרת עליונה וכותרת תחתונה, שממתינים בצד עד שיהיה פלט לארוז בתוכם. כל הקבצים חוץ ממשגר ההתקנה נושאים את אותו GUID, המזהה של כתובת ה-webhook שממנה מגיעות הפקודות, בעוד שמשגר ההתקנה נושא את המזהה של הכתובת שאליה נשלח המידע החוצה.

משגר ההתקנה יוצר את המשימה המתוזמנת שרצה כל שלושים דקות ומפעילה את המשגר של HOOKEDGE, כשהמטען עצמו מועבר לו כפרמטר. ואז ההתקנה מוחקת את עצמה, את המשגר שהפעיל אותה, ואת קובץ ההגדרות של המשימה. מה שנשאר על הדיסק הוא רק מה שצריך להמשיך לרוץ, בלי העקבות של הרגע שבו הכול התחיל. לפי Insikt Group זו מחיקה מכוונת, שנועדה לצמצם את הממצאים הזמינים לחוקר שיגיע אחרי האירוע.

בתוך המסמך הוסתרה גם תמונה שמצביעה לכתובת webhook חיצונית בשם docopened.jpg. היא לא מציגה כלום למשתמש, ועצם הבקשה שלה מהשרת היא שמודיעה למפעילים שמישהו פתח את הקובץ. בגרסאות מאוחרות יותר השם השתנה ל-doc.jpg, ובינואר 2026 איתרו החוקרים גם כתובות בשם mailopened.jpg, כלומר אותו טריק הופעל שלב אחד קודם, על פתיחת הודעת הדואר עצמה. בעדכון מסוף יוני 2026 הקנרית הזאת הוסרה לגמרי, מה שהחוקרים קוראים כניסיון לצמצם סימנים שאפשר לזהות ברשת.

אז למה דווקא Edge?

בכל פעם שהמשימה המתוזמנת נורית, HOOKEDGE צריך לשאול שאלה אחת: יש בשבילי פקודה? במקום לפתוח חיבור רשת בעצמו, הוא מפעיל את msedge.exe, הדפדפן שמותקן ממילא על כל מכונת Windows ארגונית, ונותן לו לעשות את העבודה. הדפדפן פונה לכתובת ה-webhook ומקבל בחזרה HTML עם JavaScript שמוריד אוטומטית קובץ אחד או יותר לתיקיית ההורדות. הסיומת שלהם, 75e, היא שלושת התווים האחרונים של אותו GUID.

מכאן זה batch פשוט. הקבצים מחוברים יחד לקובץ cmd אחד, הוא רץ, והפלט נשמר בקובץ זמני. הפלט נעטף בין שני קטעי ה-HTML שהוכנו מראש עוד בהתקנה, והרצה שנייה של Edge פותחת את הקובץ המורכב הזה. הדף שולח את עצמו: טופס שמוגש אוטומטית עם הטעינה מבצע בקשת POST עם הפלט לכתובת webhook נפרדת, כזאת שמשמשת רק להוצאת מידע ולא לקבלת פקודות. בסוף המחזור נמחקים כל הקבצים הזמניים, וכל תהליך שכותרת החלון שלו תואמת למזהה המשימה נסגר. בגרסאות הראשונות Edge הורץ במצב headless, בלי ממשק בכלל; מדצמבר 2025 עברו התוקפים להריץ אותו בחלון מוסתר.

לשימוש בכלים שכבר קיימים על המכונה במקום בכלים שהתוקף הביא איתו קוראים living off the land, וזו בדיוק הנקודה כאן. "על ידי יצירת תעבורת רשת דרך דפדפן אינטרנט לגיטימי במקום דרך קובץ מערכת שמנוצל לרעה באופן שגרתי או קובץ הרצה ייעודי, הנוזקה מערבבת את התקשורת שלה עם פעילות גלישה ארגונית רגילה", כתבו החוקרים. מבחינת המגן זה מטרד אמיתי: התעבורה יוצאת מדפדפן מוכר אל שירות אינטרנט מוכר, ולכן שיטות זיהוי שנשענות על מוניטין של דומיין או של כתובת IP, על רשימות חסימה סטטיות, או על מדיניות שמחריגה שירותים אמינים מבדיקת TLS, לא רואות בה שום דבר חריג. את כתובות ה-webhook עצמן ניהלו התוקפים דרך כתובות IP של NordVPN, כך שגם מקור הפעילות לא מספק סימן זיהוי.

המגבלה של 100 בקשות שקבעה את הקצב

webhook.site הוא שירות חינמי שנועד למפתחים שרוצים לבדוק בקשות רשת, והחשבון החינמי שלו מוגבל למאה בקשות לכל כתובת ייחודית. בקצב של פנייה כל שלושים דקות, כתובת אחת שורפת את המכסה שלה בתוך יומיים או שלושה. לפי החוקרים, המגבלה הפעוטה הזאת היא שהכתיבה שני שינויים מרכזיים במבצע.

הראשון הוא קצב הפנייה, שזז לאורך הקמפיין. באוקטובר 2025 הוא עמד על עשרים דקות, והשינוי המשמעותי ביותר היה העלאת המרווח של השלב הראשון משלושים דקות ל-61. המספר הזה נראה שרירותי עד שמבינים מה הוא קונה: הוא גם מאט את צריכת המכסה, וגם חומק מסביבות ניתוח אוטומטיות שמריצות דגימה ועוקבות אחריה עד שישים דקות. דקה אחת מעל הסף.

השני הוא ארכיטקטורה דו-שלבית. HOOKEDGE לא משמש רק ככלי גישה ראשוני, אלא גם מוריד לאותו מחשב מטען HOOKEDGE נוסף, עם אותו מבנה בדיוק אבל עם כתובות אחרות וקצב אחר. בעוד שהשלב הראשון פונה כל שלושים דקות, השלב השני פונה כל חמש דקות, מה שכבר מאפשר עבודה אינטראקטיבית מול המחשב הנגוע ולא רק תשאול איטי. את מי לשדרג המפעילים בוחרים לפי טלמטריה שיש להם ממילא: מי פתח את המסמך, ומול מי התקשורת עם כתובות ה-webhook באמת עבדה. וכך תשתית הגישה הראשונית נשארת נפרדת מתשתית האיסוף, והמכסה של הראשונה לא נגמרת בגלל העבודה של השנייה. (מבצע ריגול של מודיעין צבאי שמתכנן את הארכיטקטורה שלו סביב תוכנית חינמית של שירות SaaS הוא, בפני עצמו, נתון מעניין.)

מה צפוי לבוא אחרי HOOKEDGE

החוקרים מעריכים ש-HOOKEDGE יוחלף בסופו של דבר, פשוט כי ל-BlueDelta יש היסטוריה של פרישת כלי גישה ראשוניים ברגע שהם צוברים מספיק כיסוי בהגנות. מה שכן, הם מעריכים שהיורש ישמר את אותם מרכיבים שהוכיחו את עצמם: שימוש בקבצי מערכת לגיטימיים, ניצול שירותי אינטרנט חוקיים כתשתית שליטה, והרצה מתוך מה שכבר קיים על המכונה. הם גם מפנים תשומת לב לשני סימנים שחזרו גם ב-HEADLACE וגם ב-HOOKEDGE, העברת מטענים באמצעות JavaScript ושמות קבצים בפורמט GUID, ומציעים לעקוב אחריהם כדי לזהות את הכלי הבא כשיגיע.

ומה יקרה אם webhook.site יתחיל לחסום את הפעילות הזאת? גם על זה יש הערכה בדוח: לדעת Insikt Group הקבוצה תעבור לשירות לגיטימי אחר, ולא תקים תשתית משלה. הבסיס להערכה הוא תקדים, המעבר מ-mocky.io ל-webhook.site שכבר קרה בימי HEADLACE. במקום להוסיף יכולות חדשות, כותבים החוקרים, הקבוצה משכללת שוב ושוב את מה שכבר עובד לה, עם דגש על עמידות מבצעית. את אותה שרשרת סיקרו גם ב-The Hacker News יום לאחר פרסום הדוח.

מה זה אומר בפועל

ההמלצות שבדוח פשוטות ולא חדשות, וזה בדיוק העניין. חסימת הרצת מאקרו במסמכים שהגיעו מהאינטרנט מנטרלת את כל השרשרת הזאת בשלב הראשון שלה, לפני שנוצר קובץ אחד על הדיסק. מי שלא יכול לחסום גורף צריך כיסוי גילוי בשלוש נקודות שהחוקרים מציינים במפורש: יצירת משימות מתוזמנות בידי תהליכים לא צפויים, הרצה של Microsoft Edge בלי ממשק או בחלון מוסתר, ותקשורת יוצאת לשירותי webhook.

אם אתם מנסים לנסח מזה חוק גילוי, החתימה ההתנהגותית ברורה למדי: דפדפן שמופעל מתוך קובץ batch שרץ כמשימה מתוזמנת, מוריד לתיקיית ההורדות קובץ עם סיומת בת שלושה תווים שלא אומרת כלום, ופונה החוצה בדיוק באותו מרווח זמן, שוב ושוב, כל שעה בערך.