Apt28 sfrutta vulnerabilità zero-day in Microsoft Office: come proteggersi

Apt28, noto gruppo hacker legato alla Russia, ha lanciato attacchi sfruttando una vulnerabilità zero-day in Microsoft Office. Questa falla, identificata come CVE-2026-21509, permette di aggirare le protezioni di sicurezza e installare malware pericoloso. La soluzione rapida? Aggiorna immediatamente Microsoft Office con la patch di emergenza rilasciata il 26 gennaio 2026 e disabilita i macro non attendibili. In questo modo, proteggi i tuoi dati da furti e spionaggio mirati contro governi e organizzazioni in Ucraina, Slovacchia e Romania.

Questi attacchi, parte dell’operazione Neusploit, usano documenti RTF o DOC malevoli inviati via email phishing. I target principali sono enti governativi ucraini e istituzioni UE, con email che fingono comunicazioni ufficiali come bollettini meteorologici o documenti di consultazione. Aprendo il file, si attiva una connessione WebDAV che scarica payload letali come MiniDoor o PixyNetLoader, portando a backdoor persistenti.

Microsoft ha risposto con un aggiornamento out-of-band, ma gli exploit continuano. Per una protezione base: usa antivirus aggiornati, verifica mittenti email sospetti e non aprire allegati da fonti ignote. Questo articolo esplora il contesto, le tattiche usate e strategie di difesa.

Contesto degli attacchi

Gli hacker di Apt28, anche chiamati Fancy Bear o UAC-0001, operano per l’intelligence militare russa (GRU). Dal 2022 intensificano operazioni contro l’Ucraina, weaponizzando vulnerabilità Microsoft entro ore dalla divulgazione. In gennaio 2026, Zscaler ThreatLabz ha rilevato exploit in the wild tre giorni dopo la patch, confermando la rapidità del gruppo.

Le campagne colpiscono Europa centrale e orientale:

• Documenti tematici su discussioni UE-Ucraina.
• Phishing impersonando centri meteorologici ucraini.
• Oltre 60 email a agenzie governative centrali.

Il malware mira a spionaggio: ruba email, installa backdoor per accesso remoto e persiste tramite hijacking di componenti Windows.

Tattiche e tecniche usate

Gli attacchi iniziano con file Office crafted:

• RTF malevoli per bypassare protezioni OLE/COM.
• Connessione a server esterni via WebDAV per scaricare shortcut con codice malevolo.
• Dropping di DLL come MiniDoor, che crea progetti VBA in Outlook per inoltrare email.

MiniDoor:

• Crea cartelle in %appdata%\Microsoft\Outlook.
• Modifica registry per caricare macro automaticamente.
• Disabilita avvisi macro.
• Usa mutex come “adjgfenkbe” per evitare duplicati.
• Decripta payload con chiavi XOR (es. 0x3a).

persistence tramite:

• Hijacking COM in explorer.exe.
• Task pianificati “OneDriveHealth” per riavviare explorer.
• DLL proxying per mimare export legittimi.

Evadono detection con:

• Sleep() e validazione processi.
• Estrazione shellcode da pixel PNG via steganografia LSB.
• Caricamento .NET Covenant Grunt via CLR hosting.
• C2 su Filen API.

TTPs tipici di Apt28: hashing dinamico API (DJB2), controlli temporali, abuso piattaforme trusted.

Impatti e rischi

La vulnerabilità colpisce Office 2016, 2019, LTSC 2021/2024 e Microsoft 365 Apps. CVSS 7.8: alta gravità, richiede solo apertura file. Conseguenze:

• Furto credenziali e email.
• Accesso persistente per spionaggio.
• Lancio ulteriori attacchi.

Cert-UA avverte: attacchi cresceranno per ritardi patch. Organizzazioni enterprise faticano con deployment rapidi.

Azioni immediate per utenti e aziende:

• Applica patch Microsoft KB5002733 o successive.
• Abilita Protected View e blocca macro.
• Usa EDR per monitorare WebDAV e task sospetti.
• Addestra su phishing.

Evoluzione della sicurezza Microsoft

Microsoft investe in AI per cybersecurity. Il SDL (Security Development Lifecycle) evolve per AI, combinando policy, ricerca e training contro minacce emergenti. Rapporti come il Data Security Index 2026 esplorano adozione AI sicura, proteggendo dati sensibili in era generativa.

Post recenti evidenziano:

• Sicurezza agenti AI runtime contro exploit orchestrazione.
• Infostealer su macOS e Python.
• Supply chain AI.
• AI per convertire report minacce in detection.

Premi Security Excellence 2026 riconoscono innovatori difesa.

Approfondimenti per esperti tecnici

Dettagli CVE-2026-21509

Falla di bypass feature sicurezza in decisioni basate input non trusted. Advisory: “Reliance on untrusted inputs in a security decision allows unauthorized attacker to bypass locally.” Sfrutta controlli OLEpack vulnerabili, esponendo a COM/OLE malevoli.

Attack chain dettagliata:

1. Apertura RTF/DOC → Exploit CVE-2026-21509.
2. WebDAV fetch .lnk → Esegue codice per download exe.
3. Drop EhStoreShell.dll (proxy DLL).
4. Shellcode da PNG → Covenant Grunt C2.

MiniDoor analisi:

• Scrive VbaProject.OTM con macro per forward email.
• Registry: HKCU\Software\Microsoft\Office\16.0\Outlook\Security\VBAProject = 1 (load auto).
• PromptMacro = 0 (no warnings).

PixyNetLoader: Identico chain, drop Grunt Covenant. C2: Filen.io per bridge.

Detection rules:

• Monitora mutex adjgfenkbe.
• Task OneDriveHealth in %temp%\Diagnostics\office.xml.
• Network a domini Filen sospetti.
• API hashing DJB2 in memoria.

Mitigazioni avanzate:

• Disabilita WebDAV client: regkey HKLM\SYSTEM\CurrentControlSet\services\WebClient\Start=4.
• Block OLE in Office: Attack Surface Reduction (ASR) rule “Block Win32 API calls from Office macro”.
• YARA per shellcode LSB: analizza PNG least significant bit.

Evoluzione TTPs Apt28: Radici in NotDoor, Phantom Net Voxel. Continuano a evolvere con zero-day rapidi.

Proteggiti ora: patch, monitora, addestra. La cybersecurity richiede vigilanza costante contro minacce state-sponsored.

Fonte: https://www.microsoft.com/en-us/security/blog/