Der Einstieg erfolgt über ein makrofähiges Word-Dokument. Klickt das Opfer auf „Inhalt aktivieren", um den angeblichen Text sichtbar zu machen, schreibt die Makro-Routine sechs Dateien in das Verzeichnis „%userprofile%" und startet die Installationskette von HOOKEDGE.
Ein Installer-Starter richtet zunächst eine geplante Aufgabe ein, die alle 30 Minuten den HOOKEDGE-Launcher mit der Backdoor als Argument ausführt. Anschließend löscht sich der Haupt-Installer selbst — zusammen mit dem Installer-Starter und der Definitionsdatei der geplanten Aufgabe. Damit sollen Spuren beseitigt, der forensische Fußabdruck verkleinert und die Reaktion auf den Vorfall erschwert werden.
Das Köderdokument enthält zudem ein verstecktes Bild, das eine webhook[.]site-URL aufruft und die Betreiber sofort benachrichtigt, sobald das Dokument geöffnet wird. Die Backdoor selbst arbeitet als einfaches Batch-Skript in einer Abfrageschleife: Sie holt beliebige .cmd-Nutzlasten von einem Staging-Webhook, führt sie aus und schickt die Ausgabe als HTML-Datei an die Webhook-URL zurück.
Für Befehlsabruf und Datenabfluss startet HOOKEDGE eine Instanz von Microsoft Edge im Headless-Modus oder in einem verborgenen Fenster und stellt darüber eine HTTP-Anfrage an den Webhook. Nach der Übertragung werden alle temporären Dateien gelöscht und jeder Prozess beendet, dessen Fenstertitel mit der HOOKEDGE-Aufgabenkennung übereinstimmt.
Gegen besonders lohnende Ziele setzt BlueDelta laut Recorded Future eine zweite HOOKEDGE-Stufe ein, deren Melde-Intervall auf bis zu fünf Minuten verkürzt ist. Das gibt den Angreifern mehr Kontrolle über die Aufgabenverteilung und über interaktive Aktivitäten nach der Kompromittierung.
Hinter dem zweistufigen Aufbau steckt auch eine praktische Erwägung: „Die kostenlose Variante von webhook[.]site erlaubt höchstens 100 Anfragen pro Endpunkt, das heißt, ein Melde-Intervall von 30 Minuten würde das Anfragebudget eines Endpunkts innerhalb von etwa zwei bis drei Tagen aufbrauchen", erläutert Recorded Future. Indem hochpriorisierte Opfer auf eigene Endpunkte der zweiten Stufe verlagert werden, trennt die Gruppe die Infrastruktur für den Erstzugang von jener für die laufende Datensammlung — die begrenzten Anfragekontingente der Erstzugangs-Endpunkte werden so nicht vorzeitig erschöpft.
Die Forscher gehen davon aus, dass die erste Stufe der breiten Zugangsgewinnung dient und die dort gesammelten Informationen zur Auswahl nachrichtendienstlich wertvollerer Opfer genutzt werden. Zwischen September 2025 und April 2026 wurde der Implantat-Code fortlaufend nachgeschärft, wohl um automatisierte Sandbox-Umgebungen zu umgehen und sich an reduzierte Limits der kostenlosen webhook[.]site-API anzupassen. Entfernt wurde dabei unter anderem der Melde-Mechanismus, der beim Öffnen des Dokuments die IP-Adresse des Opfers erfasste; die Analysten vermuten, dass damit netzbasierte Kompromittierungsindikatoren reduziert werden sollen.
Zur Abwehr empfiehlt Recorded Future, die Makro-Ausführung in Dokumenten aus dem Internet zu blockieren sowie Erkennung für missbrauchte geplante Aufgaben, Headless-Ausführung von Microsoft Edge und ausgehende Verbindungen zu Webhook-Diensten einzurichten. Die Gruppe führe keine neuen Fähigkeiten ein, sondern verfeinere ihr bestehendes Handwerk stetig und passe erprobte Werkzeuge an veränderte Abwehrmaßnahmen und Infrastrukturgrenzen an.