Introdução
Relatórios públicos e alertas do CERT‑UA e da Microsoft confirmam exploração ativa de uma vulnerabilidade zero‑day no Microsoft Office identificada como CVE‑2026‑21509. A exploração tem sido usada em campanhas direcionadas a órgãos ucranianos e entidades da União Europeia, com documentos ofuscados distribuídos por phishing.
O que se sabe tecnicamente
Após a divulgação da Microsoft em 26 de janeiro de 2026, pesquisadores encontraram, em 27 de janeiro, um DOC malicioso intitulado "Consultation_Topics_Ukraine(Final).doc" que explora a CVE‑2026‑21509. Ao abrir o documento, o exploit estabelece conexão via WebDAV com infraestrutura controlada pelos atacantes.
Corrente de ataque observada
- Documento malicioso inicia a cadeia e solicita recursos via WebDAV;
- É baixado um atalho contendo código executável que implanta componentes como "EhStoreShell.dll" e um ficheiro "SplashScreen.png" com shellcode;
- Alterações de registro usando técnicas de COM hijacking são usadas para persistência e é criado um agendamento chamado "OneDriveHealth";
- Payload final identificado: COVENANT, um framework pós‑exploração que utiliza o serviço Filen (filen.io) para C2, misturando tráfego com atividade legítima de nuvem.
Alvo e alcance
Certificações do CERT‑UA mostraram campanhas de spear‑phishing que distribuíram documentos camuflados como boletins meteorológicos e comunicações oficiais, atingindo mais de 60 endereços de e‑mail ligados a corpos do executivo central ucraniano. Foram encontradas variantes adicionais dirigidas a países da UE no final de janeiro.
Motivação e atribuição
O relatório indica operação associada ao grupo UAC‑0001 (conhecido como APT28) e uso de engenharia social com temas geopolíticos (COREPER, boletins meteorológicos), alinhando alvo e sofisticação com operações de espionagem e coleta de credenciais e dados sensíveis.
Mitigações e recomendações
Fontes públicas citam as recomendações imediatas:
- Aplicar as mitigações registradas pela Microsoft (controles baseados em registro indicados pelo fornecedor);
- Bloquear e monitorar conexões WebDAV e tráfego para infraestrutura Filen/filen.io suspeita;
- Tratar documentos não solicitados, especialmente com temas administrativos ou geopolíticos, com cautela e verificar assinaturas/gerenciamento de macros antes de abrir;
- Atualizar processos de ingestão de e‑mail e regras de detecção para capturar atalhos e payloads hospedados externamente.
O que não está claro
As divulgações públicas não quantificam a taxa total de sucesso da exploração nem listam todos os indicadores de compromisso usados pelos atacantes; tampouco existe um inventário público completo de domínios ou servidores de C2 associados. As autoridades recomendam bloqueios proativos e monitoramento de rede.
Implicações operacionais
Esta exploração reforça a necessidade de pipelines de patching ágeis e de controles de prevenção de phishing em ambientes corporativos e governamentais. A combinação de um exploit zero‑day com o uso de serviços de nuvem legítimos para C2 complica a detecção, demandando análise comportamental e inspeção de tráfego anômalo.
Fonte: Cyber Security News (cobertura citando Microsoft e CERT‑UA).