摘要
国家背景威胁组织 BlueDelta 针对欧洲多国政府及外交机构开展的 HOOKEDGE 间谍攻击活动，体现出高级持续性威胁组织对公共开发者服务的新型滥用模式。该攻击活动时间跨度自 2025 年 9 月下旬至 2026 年 4 月上旬，以西班牙、罗马尼亚、土耳其的政府外交相关机构为主要目标，依托带宏的 Word 诱饵文档实现初始访问，部署基于 Windows 批处理脚本实现的轻量级后门 HOOKEDGE，复用公开 Webhook 开发者服务完成命令下发、载荷暂存与数据回传，规避传统恶意域名特征检测机制。HOOKEDGE 是该组织早期 HEADLACE 载荷的迭代版本，在保留原有主体架构的基础上针对沙箱检测、免费 Webhook 接口配额限制完成多轮战术优化，依靠计划任务实现持久驻留，执行完成后主动删除本地安装痕迹，降低取证分析的可行性。本文立足于 Recorded Future 公开威胁报告材料，梳理 BlueDelta 组织背景、HOOKEDGE 完整攻击链路，剖析诱饵文档社会工程设计、载荷持久化机制、基于合法第三方服务的命令控制通信模式，对比 HEADLACE 与 HOOKEDGE 的技术演进逻辑，剖析该类 “合法服务劫持” 攻击模式带来的防御难点。反网络钓鱼技术专家芦笛指出，HOOKEDGE 攻击活动最大的威胁不在于恶意代码本身技术复杂度，而在于攻击者把恶意通信完全封装进正常互联网业务流量，传统基于黑名单的网络检测手段会出现失效。本文同时从终端管控、邮件安全、网络流量监测、事件取证、人员安全意识多个维度提出可落地的防御处置思路，为外交政务类机构应对同类高级间谍攻击提供参考。
关键词：BlueDelta；HOOKEDGE；APT 攻击；Webhook 滥用；高级社会工程；间谍后门
1 引言
高级持续性威胁活动长期将各国政府、外交、防务相关机构作为核心情报搜集目标，传统 APT 攻击普遍使用攻击者自建的恶意域名、独立服务器作为命令控制基础设施，安全行业可以通过恶意域名、IP 地址黑名单完成基础阻断。随着安全防护体系持续完善，威胁组织开始转变思路，大量借用互联网公开合法第三方服务完成攻击链路当中的通信、存储、载荷中转环节，恶意流量混杂于普通业务访问流量，大幅抬高安全设备识别告警的门槛。
BlueDelta 是具备国家背景的威胁集群，安全行业普遍将该活动与 APT28（Fancy Bear）进行关联，评估该组织服务于俄罗斯武装力量总参谋部军事情报总局，拥有超过十年的网络间谍活动历史，长期针对欧洲、中亚区域政府机构、智库、能源防务主体开展情报窃取行动。2025 年 9 月至 2026 年 4 月期间，该组织发起一轮定向间谍行动，使用命名为 HOOKEDGE 的批脚本后门，专门针对西班牙、罗马尼亚、土耳其外交及政府部门实施渗透，该载荷继承此前 HEADLACE 后门架构，但在社会工程诱饵、驻留逻辑、通信基础设施、对抗沙箱层面完成多轮改进，形成一套轻量化、低痕迹、依托公有开发者服务的攻击链条。
本次攻击活动值得关注的现实特征有两点：第一，攻击载荷本身并非编译型复杂恶意程序，使用 Windows 原生批处理脚本构建，不需要额外投放可执行二进制文件，降低邮件网关、终端防护软件静态检测的触发概率；第二，全程借助 webhook.site 免费开发者服务完成命令下发、载荷存储、窃取数据回传，攻击者不需要维护自有 C2 服务器，不存在可直接拉黑的专属恶意域名，传统网络黑名单防御手段很难生效。
现实安全工作当中，不少机构的安全检测体系过度依赖恶意域名与 IP 黑名单，对于借用知名合法公共服务的恶意通信缺少有效的识别手段，同时针对 Office 宏文档的风险管控存在疏漏，导致定向钓鱼邮件可以完成初始突破。反网络钓鱼技术专家芦笛强调，政务外交类机构面对的 APT 钓鱼，诱饵文档往往贴合真实外交事件时间线，文本格式、版式高度模仿官方公文，普通工作人员很难单纯依靠肉眼分辨真伪。本文完整还原 HOOKEDGE 攻击全链路，解析该组织的战术演进，剖析合法公共服务被滥用带来的防御困境，提出分层防护方案，为同类机构处置该类威胁提供理论与实践参考。
2 BlueDelta 组织背景与 HOOKEDGE 攻击活动概况
2.1 BlueDelta 威胁组织基本背景
BlueDelta 是安全厂商 Recorded Future 所追踪命名的威胁活动集群，安全研究人员基于工具链重叠、攻击战术、目标选择、基础设施关联，中等置信度将该活动归属于 APT28 活动谱系，也就是常说的 Fancy Bear，该组织主要执行情报搜集类网络间谍任务，极少开展勒索破坏类攻击行为。该组织长期聚焦欧洲区域地缘政治相关目标，覆盖政府外交机构、防务产业、能源行业、政策智库，攻击手段包含定向钓鱼邮件、凭证窃取页面、恶意文档投递、轻量级脚本后门等多种方式，擅长使用低成本、可快速废弃的第三方互联网基础设施，减少自身基础设施暴露带来的溯源风险。
在 HOOKEDGE 行动之前，BlueDelta 已经使用过 HEADLACE 批处理脚本后门，同样依靠脚本类载荷完成主机驻留与远程命令执行，HOOKEDGE 可以视作 HEADLACE 在实战对抗当中迭代而来的继任版本，二者整体架构逻辑保持一致，但针对实战当中遇到沙箱拦截、Webhook 免费接口调用限额等现实问题做出针对性修改，提升攻击活动存活周期与成功率。
2.2 HOOKEDGE 攻击活动时间线与目标范围
本轮 HOOKEDGE 攻击活动观测时间窗口为 2025 年 9 月下旬至 2026 年 4 月上旬，持续大约七个月时间，主要瞄准西班牙、罗马尼亚、土耳其三国政府部门、外交机构以及关联防务相关主体开展间谍渗透行动。攻击者的诱饵文档设计充分结合现实地缘事件，最早一批诱饵文档伪造西班牙总统府、司法部门官方会议材料，文档投放时间紧贴西班牙与摩尔多瓦官员真实会晤之后，契合摩尔多瓦议会选举前后的地缘情报需求，诱饵具备极强场景贴合度，提升目标人员打开文档并且启用宏的概率。
攻击活动后期，攻击者放弃复杂的外交主题伪造文档，转而使用通用性更强的诱饵，文档仅提示用户需要启用内容才可以正常查看，在用户启用宏之后弹出伪造的 Word 报错弹窗，用来掩盖恶意动作，降低受害者的警觉程度。整个攻击周期内，攻击者持续调整诱饵策略，反映出威胁组织会根据前期攻击效果迭代社会工程手段。
2.3 HOOKEDGE 载荷基础属性
HOOKEDGE 不属于传统编译生成的恶意可执行程序，主体是 Windows 批处理脚本，配合 VBS 脚本完成辅助执行，整套恶意组件全部由 Windows 系统原生能够直接解析运行的脚本文件组成，不需要落地 exe 格式二进制文件。该设计思路的优势在于，脚本文件本身不具备传统恶意样本的静态特征，很多沙箱检测规则主要针对二进制可执行文件，对脚本后门的检测能力存在短板，同时脚本文件体积小巧，便于通过邮件附件的形式完成投递。
整套后门不内置固定的恶意行为，采用模块化的工作模式，主机持久驻留之后周期性从外部 Webhook 地址获取命令脚本，在本地执行之后，再把执行输出结果回传给另外一组 Webhook 接口，攻击者可以远程下发任意系统命令，实现文件读取、目录遍历、信息搜集等间谍活动所需要的各类动作。
3 HOOKEDGE 完整攻击链路解析
HOOKEDGE 完整攻击链路可以划分为初始访问阶段、载荷落地安装阶段、持久化驻留构建阶段、命令控制通信阶段、痕迹清除五个前后衔接的环节，整套链路大量复用 Windows 系统自带功能，尽量减少引入第三方程序，降低被安全软件识别的概率。
3.1 初始访问：宏文档定向钓鱼投递
攻击的入口为携带恶意宏的 Microsoft Word 文档，大概率通过定向钓鱼邮件完成分发。定向钓鱼邮件会针对外交机构工作人员的身份进行包装，邮件主题、附件文档名称贴合外交公务场景，诱导接收人员打开附件。文档内部嵌入 AutoOpen 自动执行宏，只有受害者手动点击启用文档内容，宏代码才会获得执行权限，这一步攻击高度依赖社会工程学，需要用户完成人为确认操作，不存在无用户交互的漏洞利用。
诱饵文档内部还嵌入隐藏的图片资源，图片引用指向攻击者控制的 webhook.site 地址。只要受害者打开文档，无论是否启用宏，图片加载请求就会发送至 Webhook 服务，攻击者即可获得文档已经被打开的情报，用来统计钓鱼诱饵触达情况，判断目标人员是否阅读邮件附件，为后续战术调整提供依据。
3.2 载荷落地与安装流程
当受害者启用宏之后，宏代码开始执行，会在受害者本机用户配置目录之下写入多份恶意文件，包含批处理主载荷、VBS 启动器、安装程序、HTML 辅助片段等多组件，文件命名采用 GUID 风格的随机名称，文件名和 Webhook 端点形成对应关系，方便后门程序定位通信地址。
安装组件完成本地文件释放之后，核心任务是创建系统计划任务，以此实现后门的持久化运行。默认配置下计划任务每三十分钟触发一次，启动 HOOKEDGE 主载荷，完成一轮命令获取、执行、结果回传的完整周期。针对高价值情报目标，攻击者还会部署第二套配置，设置更高频率的任务巡检，提升攻击者对被控主机的控制响应速度。
安装程序在完成计划任务创建之后，会主动删除自身、启动器文件、任务定义文件等安装阶段产生的中间产物。该行为的目的是缩减主机磁盘上的恶意痕迹，当安全人员开展事后取证的时候，安装阶段的文件已经被清除，仅剩下长期驻留运行的主载荷文件，增大事件溯源取证的难度。
3.3 基于 Microsoft Edge 的通信实现
HOOKEDGE 后门不使用专用网络工具，直接调用系统预装的 Microsoft Edge 浏览器完成网络请求。每一次计划任务触发，都会调用 Edge 访问指定 webhook.site 的地址，下载攻击者存放于此的命令脚本内容，在本地系统当中执行获取到的指令。命令执行结束之后，后门会把命令输出结果封装，再次借助 Edge 上传至另一组 Webhook 接口，攻击者登录 webhook.site 后台，就可以读取被控主机返回的全部执行结果。
使用本地浏览器程序完成网络通信，是该攻击非常关键的战术设计。在网络层面，所有对外访问流量全部表现为 Edge 程序访问普通开发者网站 webhook.site 的 HTTPS 请求，和普通办公人员日常浏览网页的流量没有明显差异，网络设备很难仅凭流量特征区分正常浏览和恶意后门通信。攻击者不需要维护自己的 C2 服务器，只需要使用免费 Webhook 服务提供的接口地址，就可以完成指令下发与数据回传，大幅降低攻击基础设施建设成本，同时规避恶意域名黑名单检测。
但该模式会受到 Webhook 免费版本接口调用频次的限制，这也是 HOOKEDGE 对比上一代 HEADLACE 做出调整的重要动因，攻击者需要控制后门轮询间隔，避免短时间大量请求触发 Webhook 平台的访问限制，导致通信链路中断。
3.4 载荷运行与痕迹清除机制
后门采取轮询工作模式，没有长连接驻留，只有计划任务触发的时候才会发起网络访问，其余时间处于休眠状态。这种间歇式工作模式也会降低终端检测工具捕获恶意行为的机会窗口。攻击者下发的命令脚本在本地执行完成之后，相关临时文件同样会做清理处理，尽可能减少磁盘遗留证据。
整套攻击流程结束之后，主机上留存的主要痕迹只剩下计划任务条目、少量长期驻留的脚本载荷文件，大量中间安装文件已经被自我删除，对事后应急取证工作构成明显阻碍。
4 HOOKEDGE 与 HEADLACE 载荷技术演进对比
HOOKEDGE 作为 HEADLACE 的迭代版本，二者核心架构保持一致，都是基于 Windows 批脚本的轻量级后门，依靠外部 Web 服务获取命令、回传结果，依靠计划任务实现持久化，都瞄准政府外交类情报目标。但在真实对抗环境下，攻击者针对前期暴露出来的短板完成多方面优化，体现出 APT 组织在实战当中的工具迭代逻辑。
第一，对抗沙箱检测能力提升。早期 HEADLACE 样本在部分自动化沙箱环境下容易被识别拦截，HOOKEDGE 针对沙箱行为特征做调整，增加运行条件判断，提升沙箱自动分析的绕过概率。
第二，适配 Webhook 免费服务接口配额约束。HEADLACE 运行阶段产生大量高频网络请求，免费 webhook.site 接口存在调用上限，高频轮询会直接造成通信失效。HOOKEDGE 调整轮询策略，默认设置三十分钟的基础轮询间隔，在兼顾情报收集需求的前提下，适配免费公共服务的访问限制，保证攻击链路可以长期稳定运行，只有高价值目标才启用更高频率的巡检配置。
第三，社会工程诱饵迭代。HEADLACE 相关活动的诱饵形式相对单一，HOOKEDGE 攻击周期内先后使用高仿外交公文诱饵、通用启用内容诱饵搭配伪造报错弹窗两套方案，当第一类诱饵效果下降之后，快速切换到第二种欺骗模式，提升钓鱼突破成功率。
第四，本地痕迹清理流程进一步完善。HOOKEDGE 安装脚本对安装过程产生的各类中间文件、任务定义文件执行删除操作，相比 HEADLACE 进一步压缩系统本地留存的攻击证据，提高应急响应取证难度。
反网络钓鱼技术专家芦笛指出，很多安全从业者会产生误区，认为高级 APT 攻击一定依靠复杂零日漏洞、高度复杂的恶意二进制程序。HOOKEDGE 和 HEADLACE 这一类载荷恰恰说明，部分国家背景间谍组织更加看重工具的实用性、隐蔽性，原生脚本、系统自带组件，结合合法第三方互联网服务，就可以构建一套完整有效的间谍攻击链条。
5 HOOKEDGE 攻击模式带来的防御现实困境
HOOKEDGE 所代表的 “滥用合法公共服务完成攻击通信” 的攻击模式，对传统安全防护体系带来多重挑战，传统防御手段会出现不同程度失效，需要客观认清现有防护体系的短板。
5.1 网络黑名单机制的局限性
传统网络安全防御大量依靠恶意域名、恶意 IP 地址黑名单进行阻断。而 HOOKEDGE 全程使用 webhook.site 这一公开正常开发者平台域名，该域名被大量正常业务开发人员使用，安全机构无法直接将整个域名加入黑名单，一旦全盘阻断会影响内部正常业务开发调试工作。攻击者只需要在该平台生成专属的接口路径，就可以完成命令控制，网络侧只能看到访问知名合法域名，无法依靠域名黑名单识别恶意行为，这是该类攻击最核心的防御难点。
5.2 脚本类后门静态检测难度较高
HOOKEDGE 主体为 Windows 批脚本，没有传统恶意软件的二进制特征。批脚本本身是系统原生合法文件，脚本内容本身没有明显恶意字符串，核心通信地址放置在外部 Webhook 平台，本地脚本文件当中不存在硬编码的恶意服务器地址。静态扫描很难直接判定脚本的威胁属性，很多终端防护产品规则库重点针对 exe、dll 等二进制文件，对脚本后门的检测覆盖不足。
5.3 Office 宏钓鱼仍然是重要突破入口
尽管微软新版本 Office 默认已经禁用宏，但是定向 APT 钓鱼仍然大量依靠宏文档作为初始突破口。社会工程欺骗可以诱导用户手动开启内容，完成恶意代码执行。政务外交机构日常会接收大量外部公文附件，工作人员存在打开外来文档的现实业务需求，钓鱼诱饵又高度模仿真实公务文件，进一步放大宏文档钓鱼的风险。单纯依靠技术层面关闭宏，并不能完全解决问题，一旦业务需要启用宏，就会重新暴露攻击面。
5.4 事后取证的证据留存难题
HOOKEDGE 在安装阶段会主动删除大量中间文件，攻击运行过程以间歇轮询模式开展，没有持续驻留进程。安全人员在发生入侵事件之后开展取证，磁盘上可用于溯源的证据材料被大量消减，增加还原完整攻击链路、定位攻击入口的工作难度，部分机构甚至无法确认入侵发生的准确时间点。
5.5 沙箱检测面临对抗优化
攻击者已经针对自动化沙箱环境进行适配修改，HOOKEDGE 增加了沙箱绕过相关逻辑，普通邮件沙箱、样本分析沙箱有可能无法触发完整恶意行为，造成沙箱分析结果误判为安全文档，威胁样本直接放行到达工作人员邮箱。
6 针对 HOOKEDGE 同类攻击的分层防御与处置策略
针对以 HOOKEDGE 为代表，依托定向钓鱼、脚本后门、合法第三方服务通信的 APT 间谍攻击，不能依靠单一安全产品实现全面防护，需要从邮件安全、终端管控、网络流量分析、身份安全、人员意识、应急取证多个层面构建分层防御体系。
6.6 邮件安全与附件管控
定向钓鱼邮件是该攻击的首要入口，需要强化邮件安全防线。第一，严格管控外来 Office 文档宏执行权限，针对外部发件人投递的 Word 文档，默认阻止宏运行，仅对可信内部来源文档开放宏能力。第二，对高风险附件类型进行深度沙箱检测，针对来自境外外交相关来源的文档，重点开展沙箱分析，同时需要意识到沙箱存在被绕过的可能性，不能把沙箱结果作为唯一判断依据。第三，开展邮件内容规则校验，针对模仿本国政府外交机构公文格式、外交会议主题的外来邮件附件进行重点告警，提升安全人员的人工复核优先级。
6.2 终端层面安全管控
终端侧需要针对脚本后门、计划任务两个关键点做好检测。第一，监控 Windows 计划任务的创建行为，重点告警普通用户配置目录下，短时间内新建的高频轮询计划任务，尤其是调用脚本文件的计划任务，HOOKEDGE 的持久化依赖计划任务，该行为是重要检测线索。第二，对系统批脚本、VBS 脚本执行行为进行审计，重点关注脚本文件由 Office 文档触发生成并执行的场景，记录脚本调用浏览器发起网络访问的行为。第三，做好终端日志留存，延长日志保存周期，为后续应急取证保留基础数据，即便恶意文件被删除，系统日志仍然可以还原大部分操作行为。
6.3 网络流量检测由黑名单转向行为分析
面对滥用合法公共域名的攻击，单纯域名黑名单已经很难起效，网络检测需要转向行为维度的分析。安全团队需要关注业务环境当中异常行为特征：普通办公终端使用浏览器高频访问 webhook.site 等开发者测试服务；终端在没有业务需求的前提下，周期性向该类站点发起 HTTPS 请求；浏览器访问外部站点之后，短时间内主机产生大量系统命令执行行为。上述行为组合起来，就可以作为告警线索，而不是简单拦截域名。同时网络安全人员需要梳理内部业务，明确哪些业务确实需要访问 Webhook 类开发者站点，建立白名单基线，减少误告警。
6.4 人员安全意识专项培训
反网络钓鱼技术专家芦笛强调，APT 定向钓鱼诱饵往往贴合真实外交事件，普通员工很难单纯依靠自己分辨文档真伪，单纯通用钓鱼培训不足以应对此类定向攻击。面向外交、政务机构工作人员，需要开展定向场景的安全培训，重点告知：来自外部陌生发送方的公文附件，即便看起来格式、主题高度贴合现实事件，也不应当随意启用宏；收到可疑外交主题邮件，优先通过电话、线下渠道核实邮件真实性，而不是直接打开附件启用内容。同时建立便捷的可疑邮件上报渠道，方便工作人员快速提交可疑邮件给安全团队复核。
6.5 入侵事件应急与取证处置预案
机构需要提前完善针对 APT 间谍入侵的应急处置预案。一旦怀疑发生类似 HOOKEDGE 的入侵，第一时间隔离受影响终端，但不要直接关机，保留内存与系统日志，优先提取计划任务列表、脚本执行日志、浏览器访问日志，不要直接删除可疑计划任务与脚本，防止破坏取证线索。重点排查用户配置目录下随机 GUID 命名的脚本、HTML 文件，排查浏览器访问历史当中 webhook.site 类开发者站点访问记录。同时需要意识到攻击者会通过 Webhook 获取命令，被控主机的攻击者可以随时下发新指令，清除本地痕迹，所以应急处置需要尽快切断被控主机网络，再开展取证分析。
6.6 威胁情报持续跟踪
该类攻击会持续迭代工具和战术，安全机构需要持续跟踪对应威胁组织的公开情报，重点关注脚本后门、第三方公共服务滥用相关战术，及时更新检测规则。同时关注同类外交防务机构的安全事件披露，做到提前感知新的攻击手段。
7 结语
BlueDelta 组织发起的 HOOKEDGE 间谍攻击活动，是现代国家背景 APT 攻击极具代表性的案例。该攻击并不依靠复杂漏洞或者高难度恶意二进制程序，将定向社会工程钓鱼、Windows 原生脚本后门、计划任务持久化，与公开免费 Webhook 开发者服务相互结合，形成一套隐蔽、低成本、可迭代的间谍攻击链路，针对欧洲多国政府外交机构开展长达七个月的情报窃取行动。HOOKEDGE 是前代 HEADLACE 后门的持续演进产物，攻击者根据实战当中遇到沙箱拦截、第三方平台接口配额等现实约束，不断调整载荷逻辑、诱饵文档、轮询策略，体现出高级威胁组织工具链随实战对抗持续优化的客观现实。
该攻击暴露传统安全防护体系的短板：当攻击者不使用自有恶意 C2 基础设施，而是劫持合法互联网公共服务完成命令控制与数据外发，基于域名黑名单的防御手段会出现失效；脚本类轻量级后门，加上攻击组件运行完成之后主动清理本地痕迹，进一步抬高检测和事后取证的难度。
防御 HOOKEDGE 这类 APT 间谍攻击，不存在单一技术手段可以实现完全阻断，需要邮件附件管控、终端行为审计、网络行为分析、人员安全意识建设、应急取证预案多维度配合。网络安全团队需要跳出单纯依赖黑名单的防护思路，把检测重心从识别恶意域名转向识别异常行为组合，重点关注 Office 文档触发脚本执行、异常计划任务、普通办公终端周期性访问开发者测试站点等行为线索。
攻防对抗会持续演进，未来会出现更多滥用各类合法公有云、开发者服务的攻击手段。政务外交等高价值目标机构，需要持续跟踪威胁情报，不断完善分层防护体系，提升对新型 APT 间谍攻击的识别、检测与应急处置能力。
编辑：芦笛（公共互联网反网络钓鱼工作组）
