El grupo de ciberespionaje vinculado a Rusia conocido como Fancy Bear ha lanzado la Operación Neusploit. El grupo también es conocido como APT28. Esto marca una escalada significativa, aprovechando una vulnerabilidad zero-day, CVE-2026-21509, en archivos RTF de Microsoft. Al explotar esta falla, los atacantes ejecutan código arbitrario en los sistemas de las víctimas, implementando peligrosos backdoors y robadores de correos electrónicos. 

El grupo de ciberespionaje vinculado a Rusia conocido como Fancy Bear ha lanzado la Operación Neusploit. El grupo también es conocido como APT28.

Esto marca una escalada significativa, aprovechando una vulnerabilidad de día cero, CVE-2026-21509, en archivos RTF de Microsoft.

Al explotar esta falla, los atacantes ejecutan código arbitrario en los sistemas de las víctimas, desplegando puertas traseras peligrosas y ladrones de correos electrónicos.

La campaña tiene como objetivo organizaciones en Europa Central y Oriental, representando una grave amenaza para los sectores gubernamentales y militares de la región.

El ataque distribuye documentos RTF maliciosos a través de correos electrónicos de phishing usando señuelos de ingeniería social escritos en inglés, rumano, eslovaco y ucraniano.

Los principales objetivos están en Ucrania, Eslovaquia y Rumanía. Los atacantes diseñaron estos documentos para ser altamente convincentes, a menudo imitando documentos oficiales del gobierno, lo que aumenta la probabilidad de que las víctimas activen el exploit.

Analistas de Polyswarm identificaron el malware, destacando su capacidad para eludir medidas de seguridad tradicionales.

Emplea técnicas de evasión, verificando cadenas específicas de User-Agent y ubicaciones geográficas antes de entregar la carga útil.

Si se cumplen las condiciones, la cadena descarga un DLL malicioso, que instala componentes adicionales dañinos.

Una vez comprometido, el impacto es grave. El malware roba información sensible directamente de Microsoft Outlook.

Monitorea la actividad de los correos electrónicos, guarda mensajes y los exfiltra a servidores controlados por los atacantes.

Además, el malware establece una conexión persistente con un servidor de mando y control, permitiendo a los atacantes mantener acceso a largo plazo y ejecutar más comandos. Esta comunicación suele estar cifrada para evitar la detección.

Mecanismo de infección y persistencia

La infección involucra dos variantes de DLL de descarga. La primera variante despliega MiniDoor, una herramienta que modifica claves del registro para degradar la seguridad de Outlook y extraer un script cifrado para robar correos electrónicos.

La segunda variante introduce PixyNetLoader, que lanza cargas útiles como un archivo PNG que oculta shellcode malicioso usando esteganografía.

Para garantizar la persistencia, los atacantes usan secuestro de COM. Registran su archivo malicioso bajo un nombre legítimo, obligando al sistema operativo a cargarlo cuando Explorer se reinicia.

Este mecanismo sofisticado permite que el malware sobreviva a reinicios y continúe sus actividades de espionaje sin ser detectado. Esta técnica hace que la detección sea extremadamente difícil para los defensores.

Las organizaciones deben aplicar inmediatamente el parche para CVE-2026-21509. Los equipos de seguridad deben monitorear el tráfico de red en busca de las cadenas específicas de User-Agent y los indicadores de compromiso asociados con la Operación Neusploit.

También es crucial actualizar las pasarelas de seguridad de correo electrónico para filtrar archivos RTF maliciosos. Los profesionales de la seguridad deberían considerar bloquear por completo los archivos RTF si no son necesarios para las operaciones comerciales.