Az orosz hekkerek ismét célba vették a Microsoft Office-t

A napokban orosz hackerek, az APT28 (más néven Fancy Bear vagy Sofacy), kihasználták a Microsoft Office egy frissen javított sérülékenységét (CVE-2026-21509) célzott támadásokhoz Ukrajnában és más európai szervezetek ellen. Az ukrán számítógépes veszélyhelyzeti reagálási csapat (CERT-UA) jelentése szerint a támadók már január 29-én, három nappal a Microsoft vészfrissítése után, hamis dokumentumokkal kezdték bombázni a kormányközeli szervezeteket. A fertőzött DOC-fájlokat többek közt EU-s konzultációkra hivatkozva vagy a meteorológiai szolgálat nevében küldték ki, több mint 60 állami e-mail-címre.

Előre kitervelt támadási lánc

A rosszindulatú dokumentum megnyitása egy WebDAV-alapú letöltési folyamatot indít el, amely COM-hijacking technikákkal telepíti az EhStoreShell.dll nevű kártékony fájlt, valamint egy beágyazott képfájlban (SplashScreen.png) rejt el végrehajtható shellkódot. Egy ütemezett feladat (OneDriveHealth) újraindítja az explorer.exe folyamatot, így a káros DLL automatikusan betöltődik, a shellkód pedig elindítja a COVENANT nevű megfigyelési keretrendszert.

Teljes EU-s fenyegetettség

A COVENANT segítségével a támadók a Filen felhőszolgáltatást használják parancs- és irányító szerverként (C2). Az érintett szervezeteknek célszerű szűrni, illetve blokkolni a Filen.io-hoz tartozó forgalmat. Az APT28 legalább további három, EU-s intézményeket célzó fertőzött dokumentumot is bevetett, a támadási hullám így már túlnyúlik Ukrajna határain.

Frissíts, különben baj lesz

A Microsoft Office 2016, 2019, LTSC 2021, LTSC 2024 és Microsoft 365 felhasználóknak gyorsan telepíteniük kell a legfrissebb biztonsági frissítést, az Office 2021 vagy újabb verziók esetén pedig újra kell indítani az alkalmazásokat. Az azonnali frissítés hiányában érdemes rendszerleíró-adatbázis-alapú védelmi lépéseket is bevezetni. Az Office Védett nézete továbbra is megakadályozza a legtöbb internetes forrásból származó, ismeretlen Office-fájlok automatikus megnyitását.

2025, adrienne, www.bleepingcomputer.com alapján

Share on Social Media