APT28, el grupo de amenazas persistentes avanzadas vinculado a Rusia, ha lanzado una campaña sofisticada dirigida a Europa Central y del Este utilizando una vulnerabilidad de día cero en Microsoft Office. Los actores de amenazas aprovecharon archivos Microsoft Rich Text Format (RTF) especialmente diseñados para explotar la vulnerabilidad y distribuir puertas traseras maliciosas a través de una cadena de infección de múltiples etapas. 

APT28, el grupo de amenaza persistente avanzada vinculado a Rusia, ha lanzado una campaña sofisticada dirigida a Europa Central y del Este utilizando una vulnerabilidad zero-day en Microsoft Office.

Los actores de la amenaza aprovecharon archivos de Microsoft Rich Text Format (RTF) especialmente diseñados para explotar la vulnerabilidad y entregar puertas traseras maliciosas a través de una cadena de infección de múltiples etapas.

La campaña, rastreada como Operation Neusploit, representa una escalada significativa en las capacidades de APT28 y demuestra su enfoque continuo en objetivos de alto valor en Ucrania, Eslovaquia y Rumanía.

El ataque comienza cuando los usuarios reciben correos electrónicos con ingeniería social que contienen documentos RTF armados.

Estos mensajes están personalizados en inglés y en idiomas locales como rumano, eslovaco y ucraniano para aumentar la probabilidad de infección exitosa.

Una vez que las víctimas abren estos archivos, la vulnerabilidad se activa silenciosamente, permitiendo a los actores de la amenaza ejecutar código arbitrario en el sistema comprometido sin ninguna advertencia visible para el usuario.

Analistas de Zscaler identificaron esta campaña en enero de 2026 y la atribuyeron a APT28 basándose en importantes coincidencias en herramientas, técnicas y procedimientos con las operaciones conocidas del grupo.

Los investigadores observaron explotación activa en la naturaleza el 29 de enero de 2026, solo tres días después de que Microsoft lanzara una actualización de seguridad de emergencia para abordar la vulnerabilidad.

Mecanismo de infección y estrategia de persistencia

La cadena de infección involucra dos variantes distintas de malware dropper diseñadas para desplegar diferentes cargas útiles en los sistemas comprometidos.

La primera variante despliega MiniDoor, una herramienta ligera de robo de correos electrónicos construida con Microsoft Outlook Visual Basic for Applications (VBA).

MiniDoor opera monitoreando eventos de inicio de sesión en Outlook y recolectando sistemáticamente correos electrónicos de la bandeja de entrada infectada. El malware reenvía las comunicaciones robadas a direcciones de correo electrónico codificadas controladas por los atacantes.

Para mantener la persistencia, el dropper modifica la configuración del registro de Windows para deshabilitar las protecciones de seguridad de Outlook y cargar automáticamente la macro maliciosa cada vez que se inicia la aplicación.

• ID de CVE: CVE-2026-21509
• Tipo de vulnerabilidad: Ejecución remota de código
• Componente afectado: Manejador RTF de Microsoft Office
• Gravedad: Crítica
• Fecha del parche: 26 de enero de 2026

La segunda variante del dropper despliega PixyNetLoader, que establece un punto de apoyo para implementar el implante Covenant Grunt, proporcionando a los atacantes capacidades de comando y control.

Ambas variantes emplean técnicas de evasión del lado del servidor, entregando cargas útiles solo a solicitudes que provienen de regiones geográficas específicas con los encabezados HTTP correctos. Esta entrega selectiva hace que la detección y el análisis sean significativamente más difíciles para los investigadores de seguridad en todo el mundo.