NIEUWS

Defensieaannemers in twee NAVO-landen gehackt in Russische spionagecampagne

Gepubliceerd: 22 oktober 2026 | Leestijd: 4 minuten

IN HET KORT: De Russische hackersgroep APT28 heeft drie organisaties in twee NAVO-landen gehackt. Het gaat om een scheepsbouwer van marineschepen, een maker van motoren voor militaire vliegtuigen en een opsporingsdienst. Symantec maakte dit op 20 oktober 2026 bekend. De landen en bedrijven zijn niet genoemd. Het onderzoek wijst op spionage.

Het belangrijkste in het kort

Symantec koppelt de aanvallen aan APT28, ook bekend als Fancy Bear.

De slachtoffers zitten in twee NAVO-landen in Europa.

De namen van de landen en organisaties zijn niet openbaar gemaakt.

De hackers gebruikten de Hookedge-backdoor.

Ze bleven minstens twee maanden binnen bij de scheepsbouwer.

De campagne loopt mogelijk nog.

Wie zijn de slachtoffers?

Het gaat om drie doelen. Een scheepsbouwer maakt marineschepen. Een tweede bedrijf maakt motoren voor militaire vliegtuigen. De derde is een opsporingsdienst. Alle drie hebben informatie die voor een inlichtingendienst waardevol is.

Symantec noemt de landen niet. Het zegt alleen dat de slachtoffers in Europa zitten. Of Nederland erbij hoort, is onbekend. Daar staat niets over in de bronnen.

Wie zit erachter?

Symantec schrijft de aanvallen toe aan APT28. De Amerikaanse overheid ziet de groep als een eenheid van de Russische militaire inlichtingendienst GRU. De groep werd in 2016 bekend door de aanval op de Democratische partij in de VS.

De groep heeft veel namen. Symantec noemt haar Swallowtail. Recorded Future gebruikt BlueDelta. Microsoft spreekt van Forest Blizzard. Het gaat om dezelfde activiteit, al kunnen labels per onderzoeker verschillen.

Hoe verliep de aanval?

De aanval begon met e-mail. Op 24 juli 2026 opende iemand bij de scheepsbouwer een Word-bestand. Dat bestand kwam binnen als e-mailbijlage. Het bevatte een macro die sterk was versluierd. Die macro installeerde de Hookedge-backdoor.

Hookedge werkt op een slimme manier. Het gebruikt de dienst webhook.site om opdrachten op te halen. Daar stuurt het ook de resultaten naartoe. De malware start een onzichtbaar Edge-venster. Dat venster is één pixel groot en staat buiten beeld. De browser haalt dan de opdrachten op.

Wat deden de hackers daarna?

Op 27 juli schakelden de aanvallers over op eigen infrastructuur. Binnen ongeveer 30 seconden kwamen zeven opdrachten binnen. Dat past bij een mens achter het toetsenbord. Een geautomatiseerd systeem werkt trager en regelmatiger.

De hackers stalen op twee manieren inloggegevens. Ze plaatsten een SSH-sleutel op de besmette computer. Daarmee bouwden ze een blijvende tunnel naar het interne netwerk. Ook lieten ze de computer zichzelf laten inloggen. Zo onderschepten ze een NTLM-handshake. Daaruit kan een aanvaller wachtwoordgegevens halen.

Daarna zetten ze een nieuwe loader in met de naam ld.exe. Die laadt een versleuteld bestand in het geheugen. De sleutel wordt pas tijdens het draaien meegegeven. Symantec vond de payload zelf niet. Het doel ervan is dus onbekend.

Hoe lang bleven ze binnen?

De inbraak bij de scheepsbouwer duurde minstens twee maanden. De laatste duidelijke opdracht van de aanvallers kwam op 31 juli. Bestanden en malware bleven daarna op het systeem staan. Eind augustus stonden ze er nog. Op 24 september zag men de laatste activiteit. Of daar weer een mens achter zat, is niet vast te stellen.

Recorded Future documenteerde Hookedge voor het eerst in augustus. De activiteit in september wijst volgens onderzoeker O’Brien op een campagne die doorloopt.

Wat wilden de hackers?

Het motief is niet zeker. Het type doelwit wijst op informatie over defensie. De aanvallers lijken breed te zoeken naar gegevens bij Europese overheden en defensiebedrijven. O’Brien noemt het mogelijk dat het om landen gaat die Oekraïne steunen. Dat is een inschatting en geen bewijs.

Past dit in een groter patroon?

Ja. APT28 richt zich al lang op defensie, overheden en bedrijven die Oekraïne helpen. Eerder dit jaar zag men activiteit van de groep in onder meer Polen, Slovenië, Turkije, Griekenland en de Verenigde Arabische Emiraten. Het ging om doelen in scheepvaart, transport en diplomatie.

Wat betekent dit voor Nederlandse bedrijven?

Defensiebedrijven en hun leveranciers zijn aantrekkelijke doelen. Dat geldt ook voor toeleveranciers in de keten. De aanval begon met een gewone e-mailbijlage. De basis blijft dus belangrijk.

Dit zijn mijn eigen aanbevelingen. Ze volgen uit de beschreven technieken, niet uit een advies van Symantec:

Blokkeer macro’s in bestanden uit e-mail en van internet.

Train medewerkers in het herkennen van verdachte bijlagen.

Let op verkeer naar webhook.site vanaf werkplekken.

Meld uitgaande SSH-verbindingen vanaf gewone werkplekken.

Zoek naar Edge-vensters die buiten beeld starten.

Beperk NTLM waar dat kan.

Draai wachtwoorden en sleutels om na een vermoeden van inbraak.

Behandel een Hookedge-vondst als een lopende inbraak.

Symantec adviseert dat laatste ook zelf. Zoek bij een vondst naar diefstal van inloggegevens en tunnels. Neem niet aan dat de backdoor het enige was.

Wat is nog onduidelijk?

De namen van de slachtoffers en landen ontbreken. De payload van de loader is niet gevonden. Het is niet bekend welke gegevens zijn gestolen. Ook is niet duidelijk hoeveel andere organisaties zijn geraakt.

Veelgestelde vragen

Wie zijn gehackt?
Een scheepsbouwer, een maker van vliegtuigmotoren en een opsporingsdienst. Ze zitten in twee NAVO-landen in Europa.

Wie zit erachter?
APT28, ook Fancy Bear, Swallowtail, BlueDelta of Forest Blizzard genoemd. De VS koppelt de groep aan de GRU.

Welke malware werd gebruikt?
De Hookedge-backdoor en een nieuwe loader met de naam ld.exe.

Hoe kwamen de hackers binnen?
Via een Word-bijlage met een macro in een e-mail.

Welke landen zijn geraakt?
Dat is niet bekendgemaakt.

Is de campagne voorbij?
Waarschijnlijk niet. Er was nog activiteit in september. Onderzoekers noemen de campagne mogelijk lopend.

Waar vind ik technische indicatoren?
In het rapport van Symantec. Daar staan bestandshashes en netwerkadressen.

Conclusie

Een gewone Word-bijlage opende de deur naar twee defensiebedrijven en een politiedienst. De aanvallers werkten met de hand en met geduld. Zij bleven maanden onopgemerkt. Organisaties in de defensieketen doen er goed aan hun e-mail en netwerkverkeer scherp te bewaken.

Bronnen:

Maak jouw eigen website met JouwWeb