Các nhà nghiên cứu cho biết hôm thứ Tư rằng tin tặc nhà nước Nga đã nhanh chóng khai thác một lỗ hổng nghiêm trọng trong Microsoft Office, cho phép chúng xâm nhập vào các thiết bị bên trong các tổ chức ngoại giao, hàng hải và vận tải ở hơn nửa tá quốc gia.

Nhóm tin tặc này, được theo dõi dưới các tên gọi bao gồm APT28, Fancy Bear, Sednit, Forest Blizzard và Sofacy, đã nhanh chóng khai thác lỗ hổng bảo mật, được theo dõi với mã số CVE-2026-21509, chưa đầy 48 giờ sau khi Microsoft phát hành bản cập nhật bảo mật khẩn cấp, không theo lịch trình vào cuối tháng trước, các nhà nghiên cứu cho biết. Sau khi phân tích ngược bản vá, các thành viên nhóm đã viết một công cụ khai thác tiên tiến để cài đặt một trong hai phần mềm gián điệp cửa hậu chưa từng thấy trước đây.

Sự lén lút, tốc độ và độ chính xác.

Toàn bộ chiến dịch được thiết kế để khiến việc xâm nhập không thể bị phát hiện bởi phần mềm bảo mật điểm cuối. Bên cạnh tính mới lạ, các lỗ hổng và mã độc được mã hóa và chạy trong bộ nhớ, khiến cho việc phát hiện mục đích xấu trở nên khó khăn. Phương thức lây nhiễm ban đầu đến từ các tài khoản chính phủ đã bị xâm phạm trước đó ở nhiều quốc gia và có thể quen thuộc với những người dùng email mục tiêu. Các kênh điều khiển và quản trị được lưu trữ trên các dịch vụ đám mây hợp pháp, thường được cho phép truy cập trong các mạng nhạy cảm.

“Việc sử dụng CVE-2026-21509 cho thấy các tác nhân liên kết với nhà nước có thể nhanh chóng biến các lỗ hổng mới thành vũ khí như thế nào, thu hẹp thời gian để các nhà bảo mật vá các hệ thống quan trọng,” các nhà nghiên cứu từ công ty bảo mật Trellix viết . “Chuỗi lây nhiễm theo mô-đun của chiến dịch—từ lừa đảo ban đầu đến cửa hậu trong bộ nhớ và các phần mềm độc hại thứ cấp—được thiết kế cẩn thận để tận dụng các kênh đáng tin cậy (HTTPS đến các dịch vụ đám mây, luồng email hợp pháp) và các kỹ thuật không cần tệp để ẩn mình.”

Chiến dịch tấn công lừa đảo có chủ đích kéo dài 72 giờ bắt đầu từ ngày 28 tháng 1 và đã gửi ít nhất 29 email lừa đảo khác nhau đến các tổ chức ở chín quốc gia, chủ yếu ở Đông Âu. Trellix đã nêu tên tám trong số đó: Ba Lan, Slovenia, Thổ Nhĩ Kỳ, Hy Lạp, Các Tiểu vương quốc Ả Rập Thống nhất, Ukraina, Romania và Bolivia. Các tổ chức bị nhắm mục tiêu là các bộ quốc phòng (40%), các nhà điều hành vận tải/hậu cần (35%) và các cơ quan ngoại giao (25%).