Các tin tặc nhà nước Nga đã không lãng phí thời gian khai thác lỗ hổng nghiêm trọng của Microsoft Office cho phép họ xâm phạm các thiết bị bên trong các tổ chức ngoại giao, hàng hải và vận tải ở hơn nửa tá quốc gia, các nhà nghiên cứu cho biết hôm thứ Tư.
Nhóm mối đe dọa, được theo dõi dưới những cái tên bao gồm APT28, Fancy Bear, Sednit, Forest Blizzard và Sofacy, đã tấn công vào lỗ hổng, được theo dõi là CVE-2026-21509, chưa đầy 48 giờ sau khi Microsoft phát hành bản khẩn cấp, cập nhật bảo mật đột xuất cuối tháng trước, các nhà nghiên cứu cho biết. Sau khi thiết kế ngược bản vá, các thành viên trong nhóm đã viết một bản khai thác nâng cao cài đặt một trong hai bộ cấy ghép cửa sau chưa từng thấy trước đây.
Tàng hình, tốc độ và độ chính xác
Toàn bộ chiến dịch được thiết kế để làm cho sự thỏa hiệp không thể phát hiện được đối với việc bảo vệ điểm cuối. Ngoài tính mới, các khai thác và tải trọng còn được mã hóa và chạy trong bộ nhớ, khiến ác ý của chúng khó phát hiện. Vectơ lây nhiễm ban đầu đến từ các tài khoản chính phủ bị xâm phạm trước đó từ nhiều quốc gia và có thể quen thuộc với những người nắm giữ email được nhắm mục tiêu. Các kênh chỉ huy và điều khiển được lưu trữ trong các dịch vụ đám mây hợp pháp thường được liệt kê cho phép bên trong các mạng nhạy cảm.
“Việc sử dụng CVE-2026-21509 chứng tỏ các tác nhân liên kết với nhà nước có thể vũ khí hóa các lỗ hổng mới nhanh như thế nào, thu hẹp cơ hội cho những người bảo vệ vá các hệ thống quan trọng, các nhà nghiên cứu, với công ty bảo mật Trellix, viết. “Chuỗi lây nhiễm mô-đun của chiến dịch—từ phish ban đầu đến cửa sau trong bộ nhớ đến bộ cấy thứ cấp được thiết kế cẩn thận để tận dụng các kênh đáng tin cậy (HTTPS đến dịch vụ đám mây, luồng email hợp pháp) và các kỹ thuật không cần tệp để ẩn trong tầm nhìn rõ ràng.”
Chiến dịch lừa đảo bằng giáo kéo dài 72 giờ bắt đầu vào ngày 28 tháng 1 và gửi ít nhất 29 email dụ dỗ riêng biệt cho các tổ chức ở 9 quốc gia, chủ yếu ở Đông Âu. Trellix nêu tên tám người trong số họ: Ba Lan, Slovenia, Thổ Nhĩ Kỳ, Hy Lạp, UAE, Ukraine, Romania và Bolivia. Các tổ chức bị nhắm mục tiêu là các bộ quốc phòng (40%), các nhà khai thác vận tải/hậu cần (35%) và các tổ chức ngoại giao (25%).
