Des attaquants liés à la Russie exploitent déjà le dernier jour zéro d’Office de Microsoft, l’équipe nationale de cyberdéfense ukrainienne avertissant que le même bug est utilisé pour cibler les agences gouvernementales du pays et les organisations de l’UE.
Dans une alerte publiée dimanche, le CERT-UA indique que l’activité est pilotée par UAC-0001, mieux connu sous le nom de « APT28 » ou « Fancy Bear », et repose sur CVE-2026-21509, un bug de contournement des fonctionnalités de sécurité de Microsoft Office que Microsoft a divulgué la semaine dernière, accompagné d’un avertissement indiquant que les attaquants l’exploitaient déjà dans la nature.
Selon le CERT-UA, le premier document militarisé a fait surface quelques jours seulement après que Microsoft ait tiré la sonnette d’alarme concernant la faille. Un fichier intitulé « Consultation_Topics_Ukraine(Final).doc » a été rendu public le 29 janvier et avait pour thème les discussions de l’UE sur l’Ukraine. Les métadonnées du fichier montrent qu’il a été créé le 27 janvier – le lendemain de la publication par Microsoft des détails de la faille – un délai d’exécution qui suggère que la chaîne d’exploitation était déjà préparée et en attente.
AD ENREGISTREMENT
Le même jour, les intervenants ukrainiens ont été alertés d’une campagne de phishing parallèle usurpant l’identité de la correspondance officielle du Centre hydrométéorologique ukrainien. Plus de 60 destinataires, principalement issus d’organismes du gouvernement central, ont reçu des e-mails contenant une pièce jointe DOC malveillante. L’ouverture du fichier dans Office initie silencieusement une connexion WebDAV à un serveur externe, télécharge un fichier de raccourci et l’utilise comme rampe de lancement pour d’autres logiciels malveillants.
AD ENREGISTREMENT
À partir de là, les attaquants déposent une DLL se faisant passer pour un composant Windows légitime et cachent le shellcode dans ce qui semble être un fichier image inoffensif. Ils établissent ensuite la persistance via un détournement de COM et une tâche planifiée qui redémarre explorer.exe, garantissant ainsi le rechargement du code malveillant. La plupart des utilisateurs ne remarqueront rien d’anormal, mais les attaquants disposent désormais d’un point d’ancrage vers lequel ils peuvent revenir.
Le résultat final est le déploiement du cadre de post-exploitation COVENANT, et les attaquants acheminent leur trafic via un service de stockage cloud légitime, ce qui l’aide à se fondre dans le bruit quotidien plutôt que dans quelque chose de manifestement hostile. Le CERT-UA a conseillé aux défenseurs de surveiller de près le trafic lié à Filen ou de le bloquer purement et simplement lorsque cela est possible.
La campagne ne s’est pas limitée à l’Ukraine. Dans les derniers jours du mois de janvier, le CERT-UA a identifié trois autres documents malveillants utilisant la même chaîne d’exploitation et ciblant des organisations dans les États membres de l’UE. Dans un cas, le domaine servant la charge utile a été enregistré le jour même de son utilisation, soulignant la rapidité avec laquelle les attaquants parcourent l’infrastructure.
Microsoft propose désormais des correctifs, y compris pour les anciennes versions d’Office qui étaient initialement dans les limbes, mais le CERT-UA n’est toujours pas optimiste quant à la rapidité avec laquelle ils atterriront.
« Il est évident que dans un avenir proche, notamment en raison de l’inertie du processus ou de l’impossibilité pour les utilisateurs de mettre à jour la suite Microsoft Office et/ou d’utiliser les mécanismes de protection recommandés, le nombre de cyberattaques utilisant la vulnérabilité décrite commencera à augmenter », a prévenu le CERT-UA. ®
