關(guān)鍵詞

黑客

據(jù)報(bào)道，與俄羅斯有關(guān)聯(lián)的黑客組織 Fancy Bear（ APT28）利用微軟 Office 近期披露的一項(xiàng)漏洞，對(duì)烏克蘭及歐盟相關(guān)組織發(fā)起網(wǎng)絡(luò)攻擊。

該預(yù)警由烏克蘭國(guó)家網(wǎng)絡(luò)威脅情報(bào)機(jī)構(gòu) —— 烏克蘭計(jì)算機(jī)應(yīng)急響應(yīng)小組（CERT-UA）于 2 月 2 日發(fā)布。

CVE-2026-21509 漏洞在披露前已遭利用

CERT-UA 具體報(bào)告稱，其在 1 月 29 日發(fā)現(xiàn)了一個(gè)名為 “Consultation_Topics_Ukraine(Final).doc” 的 Word 文檔。該文檔包含 CVE-2026-21509 漏洞的利用程序，該漏洞為高危級(jí)別（CVSS 3.1 評(píng)分 7.8 分），影響微軟 Office 2016、2019、長(zhǎng)期服務(wù)頻道 2021 版、長(zhǎng)期服務(wù)頻道 2024 版及微軟 365 企業(yè)應(yīng)用版等多個(gè)版本。

微軟于 1 月 26 披露了該漏洞，其成因是微軟 Office在安全決策環(huán)節(jié)過度依賴不可信輸入。

該漏洞被成功利用后，攻擊者可繞過微軟 365 及 Office 中的對(duì)象鏈接與嵌入（OLE）防護(hù)機(jī)制，而該機(jī)制原本用于保護(hù)用戶免受存在漏洞的組件對(duì)象模型（COM）及 OLE 控件的威脅。

微軟在其安全公告中確認(rèn)，已檢測(cè)到該漏洞存在在野利用的相關(guān)證據(jù)。該科技企業(yè)敦促微軟 Office 2016 及 2019 版本用戶務(wù)必安裝更新以獲得防護(hù)。

微軟 Office 2021 及后續(xù)版本用戶將通過服務(wù)端更新獲得自動(dòng)防護(hù)，但需重啟 Office 應(yīng)用程序方可生效。

CERT-UA 在報(bào)告中指出：“鑒于用戶可能延遲（或無法）更新微軟 Office 及落實(shí)推薦安全措施，利用該漏洞發(fā)起的網(wǎng)絡(luò)攻擊數(shù)量或?qū)⒊掷m(xù)上升。”

Fancy Bear 針對(duì) CVE-2026-21509 漏洞的攻擊鏈

烏克蘭計(jì)算機(jī)應(yīng)急響應(yīng)小組發(fā)現(xiàn)的該 Word 文檔，與歐盟常駐代表委員會(huì)針對(duì)烏克蘭局勢(shì)的磋商相關(guān)。

文檔元數(shù)據(jù)顯示，其創(chuàng)建時(shí)間為 1 月 27 日上午，即微軟披露該漏洞的次日。

同日，烏克蘭計(jì)算機(jī)應(yīng)急響應(yīng)小組表示，從合作方處收到報(bào)告稱，出現(xiàn)疑似來自烏克蘭水文氣象中心的釣魚郵件，附件為另一個(gè)名為 BULLETEN_H.doc 的文檔。

這封郵件被發(fā)送給了超過 60 個(gè)郵箱地址，收件方主要是烏克蘭的中央行政機(jī)關(guān)。

CERT-UA 的深入分析表明，使用微軟 Office 打開該文檔后，會(huì)通過 WebDAV 協(xié)議觸發(fā)與外部資源的網(wǎng)絡(luò)連接，隨后下載一個(gè)偽裝成快捷方式（LNK 文件）的惡意文件，該文件含有的惡意代碼可實(shí)現(xiàn)載荷的下載與執(zhí)行。

攻擊成功執(zhí)行后，會(huì)進(jìn)行以下操作：

• 創(chuàng)建名為 “EhStoreShell.dll” 的 DLL 文件（偽裝成系統(tǒng)“增強(qiáng)存儲(chǔ)外殼擴(kuò)展”庫(kù)）。

• 創(chuàng)建包含 Shellcode 的圖片文件 “SplashScreen.png”。

• 修改注冊(cè)表中 CLSID {D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D} 的路徑（以此實(shí)現(xiàn) COM 劫持）。

• 創(chuàng)建名為 “OneDriveHealth” 的計(jì)劃任務(wù)。

這些任務(wù)執(zhí)行后，會(huì)終止并重啟資源管理器進(jìn)程（explorer.exe），該進(jìn)程會(huì)通過組件對(duì)象模型劫持技術(shù)加載 EhStoreShell.dll 文件。

該動(dòng)態(tài)鏈接庫(kù)文件會(huì)執(zhí)行圖片文件中的殼代碼，最終在受感染系統(tǒng)中加載 Covenant 攻擊框架。

Covenant 是一款基于.NET 框架開發(fā)的命令與控制（C2）工具，最初設(shè)計(jì)用途為網(wǎng)絡(luò)攻防演練及紅隊(duì)滲透測(cè)試。

烏克蘭計(jì)算機(jī)應(yīng)急響應(yīng)小組還強(qiáng)調(diào)，由于 Covenant 框架將合法云存儲(chǔ)服務(wù) Filen 作為命令與控制基礎(chǔ)設(shè)施，疑似被Fancy Bear組織列為攻擊目標(biāo)的機(jī)構(gòu)，應(yīng)封禁該云存儲(chǔ)服務(wù)節(jié)點(diǎn)的網(wǎng)絡(luò)訪問，或至少對(duì)相關(guān)網(wǎng)絡(luò)交互進(jìn)行嚴(yán)密監(jiān)控。

2026 年 1 月下旬，安全人員還發(fā)現(xiàn)了另外三份攜帶相同漏洞利用代碼的文檔，其攻擊目標(biāo)指向歐盟國(guó)家的組織機(jī)構(gòu)。

烏克蘭計(jì)算機(jī)應(yīng)急響應(yīng)小組敦促相關(guān)方落實(shí)微軟安全公告中列明的漏洞緩解措施，尤其是針對(duì) Windows 注冊(cè)表配置的相關(guān)防護(hù)操作。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！