El grupo de amenazas vinculado a Rusia UAC-0001, también conocido como APT28, ha estado explotando activamente una vulnerabilidad crítica de día cero en Microsoft Office.

El grupo está utilizando este fallo para desplegar malware sofisticado contra entidades gubernamentales ucranianas y organizaciones de la Unión Europea.

La vulnerabilidad, identificada como CVE-2026-21509, fue revelada por Microsoft el 26 de enero de 2026, con advertencias sobre su explotación activa en la naturaleza.

En menos de 24 horas tras la divulgación pública de Microsoft, los actores de amenazas ya habían convertido la vulnerabilidad en un arma.

Explotación rápida tras la divulgación

El 27 de enero de 2026, investigadores de seguridad descubrieron un archivo DOC malicioso titulado “Consultation_Topics_Ukraine(Final).doc” que contenía un exploit para CVE-2026-21509.

El documento estaba tematizado en torno a consultas del Comité de Representantes Permanentes ante la UE (COREPER) sobre Ucrania, demostrando el uso de tácticas de ingeniería social geopolíticamente relevantes por parte de los atacantes.

El 29 de enero de 2026, el Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA) detectó una campaña de phishing masiva que distribuía documentos maliciosos haciéndose pasar por boletines meteorológicos del Centro Hidrometeorológico de Ucrania.

La campaña tenía como objetivo más de 60 direcciones de correo electrónico, principalmente pertenecientes a órganos ejecutivos centrales ucranianos.

Cadena de ataque y detalles técnicos

Cuando las víctimas abren el documento armado en Microsoft Office, el exploit establece una conexión de red con la infraestructura del atacante a través del protocolo WebDAV.

El malware descarga un archivo de acceso directo que contiene código ejecutable y despliega múltiples componentes maliciosos, incluyendo “EhStoreShell.dll” y “SplashScreen.png”, que contienen shellcode.

El ataque aprovecha técnicas de secuestro de COM modificando entradas del registro de Windows y crea una tarea programada llamada “OneDriveHealth” para mantener la persistencia.

La carga útil final es COVENANT, un sofisticado marco de post-explotación que utiliza el almacenamiento en la nube legítimo de Filen (filen.io) para las comunicaciones de comando y control.

Este enfoque ayuda a evadir la detección mezclando el tráfico malicioso con la actividad de servicios en la nube legítimos. A finales de enero de 2026 se descubrieron documentos maliciosos adicionales dirigidos a países de la UE.

En un caso, los atacantes registraron nombres de dominio de infraestructura de ataque el mismo día del ataque, lo que indica capacidades operativas rápidas.

Los expertos en seguridad de CERT-UA advierten que es probable que los intentos de explotación aumenten debido a los lentos ciclos de parcheo y a la incapacidad de los usuarios para actualizar sus instalaciones de Microsoft Office a tiempo.

Las organizaciones deben implementar de inmediato las mitigaciones basadas en el registro recomendadas por Microsoft, monitorear las conexiones de red a la infraestructura de almacenamiento de FileCloud y bloquear los indicadores de compromiso identificados.

Los usuarios deben extremar la precaución al abrir documentos de Office no solicitados, especialmente aquellos con temas geopolíticos o administrativos.