به گزارش کارگروه حملات سایبری سایبربان؛ محققان غربی حملات سایبری دیگری را به هکرهای وابسته به دولت روسیه نسبت دادند و مدعی شدند که آنها از یک آسیبپذیری مایکروسافت آفیس به عنوان بخشی از کمپین جاسوسی پیچیده سوءاستفاده کردهاند.
این فعالیت به «APT28» یا «Fancy Bear»، یک گروه هکری تحت حمایت کرملین نسبت داده شد و کارشناسان ادعا کردند که این هکرها بیش از دو دهه اوکراین و کشورهای متحد ناتو را هدف قرار دادهاند.
چندی پیش، تیم واکنش اضطراری رایانهای اوکراین (CERT-UA) و شرکت امنیت سایبری «Zscaler» از حملات این گروه از طریق همین آسیبپذیری علیه آژانسهای دولتی اوکراین و سازمانهای بخش دولتی در اسلواکی و رومانی خبر دادند.
محققان شرکت امنیت سایبری ترلیکس (Trellix) در گزارشی ادعا کردند که فعالیت گستردهتر APT28 را مشاهده کردهاند که نهادهای دریایی، حمل و نقل و دیپلماتیک را در کشورهایی از جمله لهستان، اسلوونی، ترکیه، یونان و امارات متحده عربی هدف قرار میدهد.
طبق این گزارش، حملات بخشی از یک کمپین فیشینگ هدفمند ۷۲ ساعته متمرکز بود که حداقل ۲۹ ایمیل مجزا را در ۹ کشور اروپای شرقی ارسال کرد. هکرها اندکی پس از افشای این نقص توسط مایکروسافت در اواخر ژانویه سال جاری، از یک آسیبپذیری تازه افشا شده مایکروسافت آفیس با شناسه «CVE-2026-21509» سوءاستفاده کردند.
ترلیکس گفت که این کمپین با ایمیلهای فیشینگ حاوی اسناد مخرب آفیس آغاز شد که به طور خودکار و بدون نیاز به تعامل کاربر، باعث سوءاستفاده میشدند. این پیامها از حسابهای ایمیل دولتی آسیبدیده در چندین کشور، از جمله رومانی، بولیوی و اوکراین ارسال شده بودند.
شرکت امنیت سایبری ترلیکس ادعا کرد که مهاجمان از فریبهای با مضامین ژئوپلیتیکی مانند هشدارهای قاچاق سلاح، دعوتنامههای دیپلماتیک ناتو و اتحادیه اروپا، اطلاعیههای آموزش نظامی و بولتنهای آب و هوای اضطراری استفاده کردند. اسناد پیوست شده به گونهای طراحی شده بودند که شبیه مکاتبات قانونی دولتی باشند و ممکن است براساس مطالب قبلاً سرقت شده باشند.
در این گزارش آمده است که پس از باز شدن، فایلها مجموعهای از ابزارها، از جمله بدافزار «MiniDoor»، که برای سرقت دادههای ایمیل طراحی شده است و «PixyNetLoader»، که در نهایت یک درب پشتی «Covenant» را روی سیستمهای آلوده نصب میکند، را به کار گرفتند.
این کمپین همچنین از سرویسهای ابری قانونی برای پنهان کردن فعالیتهای مخرب به طور گسترده استفاده کرد. ترلیکس عنوان کرد که APT28 از پلتفرم ذخیرهسازی ابری «Filen» به عنوان یک کانال فرماندهی و کنترل استفاده میکند و به بدافزار اجازه میدهد تا با ترافیک عادی اینترنت ترکیب شود.
کارشناسان مدعی هستند که این گروه هکری از آغاز جنگ روسیه و اوکراین در سال ۲۰۲۲، عملیاتهای خود را علیه کییف و متحدان اروپاییاش افزایش داده و سابقه سوءاستفاده سریع از آسیبپذیریهای تازه افشا شده آفیس را دارد و اغلب به یکی از اولین گروههایی تبدیل میشود که از آنها در حملات دنیای واقعی استفاده میکند.
ترلیکس گفت:
«استفاده از CVE-2026-21509 نشان میدهد که عوامل وابسته به دولت چقدر سریع میتوانند از آسیبپذیریهای جدید به عنوان سلاح استفاده کنند و فرصت مدافعان را برای پچ کردن سیستمهای حیاتی کاهش دهند.»
