Ver el código de «Operación Neusploit: APT28 Explota Vulnerabilidad de Microsoft Office para Atacar Redes Gubernamentales en Ucrania y la UE (2026)»

== Nombres Alternativos / Aliases ==

* Operación Neusploit (Zscaler ThreatLabz)
* CVE-2026-21509 Campaign (Por la vulnerabilidad explotada)
* APT28 Office Zero-Day Attacks (Por el actor de amenaza)
* UAC-0001 Phishing Wave (Por la designación de CERT-UA)
* Filen Cloud C2 Campaign (Por la infraestructura utilizada)
* Covenant Grunt Deployment (Por el framework post-explotación)

----

== Fecha de Detección / Actividad ==
{| class="wikitable"
!Fecha
!Evento
|-
|26 de enero de 2026
|Microsoft publica parche de emergencia (out-of-band) para CVE-2026-21509 
|-
|27 de enero de 2026
|Primer documento weaponizado creado (metadatos del DOC) 
|-
|28-30 de enero de 2026
|Ataque de phishing concentrado (72 horas, 9 países)
|-
|29 de enero de 2026
|Zscaler ThreatLabz detecta explotación activa; CERT-UA alerta sobre 60+ correos 
|-
|29 de enero - 3 de febrero 2026
|Identificación de documentos maliciosos adicionales dirigidos a estados miembros de la UE
|-
|4 de febrero de 2026
|Publicación de análisis técnico detallado por Trellix 
|-
|7 de junio de 2026
|Informe consolidado en medios alemanes (Borncity)
|}
Estado actual: Activa (se espera aumento de ataques debido a parcheo lento)
----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Categoría
!Descripción
|-
|Nombre del Actor
|APT28 / UAC-0001 / Fancy Bear / Pawn Storm / Sofacy Group / Sednit / BlueDelta / STRONTIUM 
|-
|Vínculo Gubernamental
|Alto (Unidad militar 26165 del GRU ruso - 85th Main Special Service Center GTsSS) 
|-
|Tipo de Actor
|Estado-nación / Espionaje cibernético
|-
|Sofisticación
|MUY ALTA. El grupo demuestra:
|}

* Capacidad de weaponización en 24 horas tras divulgación del CVE
* Uso de múltiples lenguajes (C++, .NET, PowerShell, VBA)
* Técnicas avanzadas de evasión (esteganografía en PNG, COM hijacking, sandbox detection)
* Abuso de servicios cloud legítimos (Filen.io, Koofr, Icedrive) como C2 
* Desarrollo de malware personalizado (MiniDoor, PixyNetLoader, NotDoor, Covenant Grunt)
* Campañas de spear-phishing con ingeniería social de alto nivel |  | Motivación | Espionaje político, militar y diplomático |  | Antigüedad | Activo desde al menos 2007  |  | Operaciones previas | Ataques a elecciones presidenciales de EE.UU. (2016), campañas contra gobiernos y OTAN |

----

== Resumen Ejecutivo ==
El grupo de espionaje ruso APT28 (también conocido como Fancy Bear o UAC-0001) lanzó una sofisticada campaña de ciberataques denominada Operación Neusploit, explotando una vulnerabilidad crítica de Microsoft Office recién parcheada (CVE-2026-21509) . La campaña se dirigió a agencias gubernamentales en Ucrania y múltiples estados miembros de la UE, así como a organizaciones militares y de transporte en Europa.

=== Descubrimientos clave ===
{| class="wikitable"
!Descubrimiento
!Detalle
|-
|Ventana de weaponización
|24 horas tras la divulgación pública del CVE 
|-
|Primer documento malicioso
|Creado el 27 de enero de 2026 (un día después del parche) 
|-
|Ataque concentrado
|72 horas (28-30 de enero), 29 correos distintos, 9 países de Europa del Este
|-
|Objetivos principales
|Ministerios de Defensa (40%), transporte/logística (35%), instituciones diplomáticas (25%)
|-
|Víctimas confirmadas
|Ucrania, Eslovaquia, Rumania, Polonia, Eslovenia, Turquía, Grecia, Emiratos Árabes Unidos 
|-
|Infraestructura C2
|Filen.io (servicio de almacenamiento en la nube legítimo) 
|}
----

== Vector de Ataque / Métodos de Distribución ==

=== Vector principal: Spear-phishing con documentos Office ===
Los ataques comienzan con correos de spear-phishing que contienen documentos RTF o DOC maliciosos, aprovechando la vulnerabilidad CVE-2026-21509 .

=== Línea de tiempo de weaponización ===
{| class="wikitable"
!Fecha (enero 2026)
!Evento
|-
|26
|Microsoft publica parche para CVE-2026-21509 (reconociendo explotación activa limitada)
|-
|27
|Primer documento weaponizado ("Consultation_Topics_Ukraine(Final).doc") 
|-
|28-30
|Campaña masiva de phishing (72 horas)
|-
|29
|CERT-UA detecta envíos a 60+ direcciones gubernamentales de Ucrania 
|}

=== Tácticas de ingeniería social ===
{| class="wikitable"
!Tema de señuelo
!Porcentaje
!Descripción
|-
|Alertas de contrabando de armas
|45%
|"200 lanzacohetes RPG-7 transportados desde Siria vía Ucrania", falsificando agencias fronterizas de Europa Central
|-
|Invitaciones a cursos militares
|25%
|Falsas invitaciones de academia de defensa regional con fechas límite
|-
|Consultas diplomáticas UE/NATO
|20%
|Solicitudes de alto nivel sobre postura ante conflicto en Ucrania
|-
|Alertas meteorológicas
|10%
|Abuso de servicios meteorológicos nacionales comprometidos para anunciar inundaciones falsas
|}

=== Países objetivo documentados ===
{| class="wikitable"
!País
!Tipo de objetivo
|-
|Ucrania
|Agencias gubernamentales, cuerpos centrales de gobierno
|-
|Rumania
|Ministerios, defensa
|-
|Eslovaquia
|Agencias gubernamentales
|-
|Polonia
|Organizaciones marítimas y de transporte
|-
|Eslovenia
|Organizaciones marítimas y de transporte
|-
|Turquía
|Organizaciones marítimas
|-
|Grecia
|Organizaciones marítimas
|-
|Emiratos Árabes Unidos
|Organizaciones marítimas
|}
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Phishing: Spearphishing Attachment (T1566.001)
|Correos con documentos Office maliciosos 
|-
|Initial Access (TA0001)
|Exploit Public-Facing Application (T1190)
|CVE-2026-21509 (Office security feature bypass) 
|-
|Execution (TA0002)
|Command and Scripting Interpreter (T1059)
|PowerShell, .NET, VBA macros (NotDoor) 
|-
|Execution (TA0002)
|User Execution: Malicious File (T1204.002)
|Apertura de documento weaponizado
|-
|Persistence (TA0003)
|COM Hijacking (T1546.015)
|CLSID <code>{D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D}</code> 
|-
|Persistence (TA0003)
|Scheduled Task/Job (T1053)
|"OneDriveHealth" - reinicia explorer.exe 
|-
|Persistence (TA0003)
|Boot or Logon Autostart Execution (T1547)
|Modificación de registro para macros de Outlook
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|DLL falsa <code>EhStorShell.dll</code> (suplanta componente legítimo) 
|-
|Defense Evasion (TA0005)
|Steganography (T1027.003)
|Shellcode oculto en archivo PNG (<code>SplashScreen.png</code>) 
|-
|Defense Evasion (TA0005)
|Obfuscated Files or Information (T1027)
|XOR encryption, cifrado AES-256, RSA 2048 
|-
|Defense Evasion (TA0005)
|Virtualization/Sandbox Evasion (T1497)
|Sleep timing validation (≥2.9s) + verificación de nombre de proceso (explorer.exe) 
|-
|Defense Evasion (TA0005)
|Process Injection (T1055)
|Inyección de shellcode en svchost.exe
|-
|Defense Evasion (TA0005)
|Fileless Execution
|.NET assembly ejecutado directamente en memoria (sin tocar disco) 
|-
|Credential Access (TA0006)
|Credentials from Password Stores (T1555)
|MiniDoor roba credenciales de Outlook
|-
|Collection (TA0009)
|Email Collection (T1114)
|MiniDoor/NotDoor: reenvío automático de correos 
|-
|Collection (TA0009)
|Data from Local System (T1005)
|Captura de documentos y archivos
|-
|Command and Control (TA0011)
|Application Layer Protocol: Web Protocols (T1071.001)
|WebDAV para descarga inicial, HTTPS para C2 
|-
|Command and Control (TA0011)
|Cloud Service Command and Control (T1521.001?)
|Filen.io (plataforma de almacenamiento legítima) como C2 
|-
|Command and Control (TA0011)
|Encrypted Channel (T1573)
|TLS, AES-256-GCM, RSA 2048 
|-
|Exfiltration (TA0010)
|Exfiltration Over Web Service (T1567)
|Correos robados enviados a cuentas de atacante (Outlook.com, Proton.me) 
|}
----

== Flujo de Ataque (Cyber Kill Chain) ==

=== Cadena de infección completa ===
{| class="wikitable"
!Fase
!Descripción
|-
|1. Reconocimiento
|Identificación de objetivos gubernamentales, militares y de transporte en Ucrania y Europa del Este
|-
|2. Armamento
| - Creación de documentos RTF/DOC weaponizados (CVE-2026-21509)
- Desarrollo de MiniDoor, PixyNetLoader, NotDoor, Covenant Grunt
- Configuración de infraestructura WebDAV y Filen.io
|-
|3. Entrega
|Correos de spear-phishing con cuentas gubernamentales comprometidas (Rumania, Bolivia, Ucrania)
|-
|4. Explotación
|Apertura del documento → CVE-2026-21509 → WebDAV a servidor atacante
|-
|5. Instalación
|Descarga de LNK → SimpleLoader DLL → EhStoreShell.dll + SplashScreen.png + tarea programada "OneDriveHealth"
|-
|6. Persistencia
|COM hijacking (CLSID específico) + tarea programada + modificaciones de registro
|-
|7. Comando y Control
|Covenant Grunt → Filen.io API (HTTPS, mimetizado como tráfico de almacenamiento cloud)
|-
|8. Acción sobre Objetivos
| - MiniDoor/NotDoor: Reenvío automático de correos de Outlook
- Covenant Grunt: Reconocimiento, robo de archivos, movimiento lateral, shell inversa
|}
----

== Infraestructura Utilizada ==

=== Vulnerabilidad CVE-2026-21509 ===
{| class="wikitable"
!Característica
!Descripción
|-
|Tipo
|Security Feature Bypass Vulnerability (CVSS 7.8 - Alto)
|-
|Afecta
|Microsoft Office 2016, 2019, LTSC 2021, LTSC 2024, Microsoft 365 Apps for Enterprise
|-
|Mecanismo
|Permite ejecutar objetos OLE/COM sin restricciones de seguridad mediante WebDAV
|-
|Panel de vista previa
|NO afectado (no es vector de ataque)
|-
|Parche
|26 de enero de 2026 (out-of-band/emergency update)
|}

=== Malware y componentes ===
{| class="wikitable"
!Componente
!Lenguaje
!Propósito
|-
|SimpleLoader
|C++
|Cargador inicial, descarga componentes, establece persistencia
|-
|MiniDoor
|C++ (DLL)
|Robo de correos de Outlook a cuentas controladas (<code>ahmeclaw2002@outlook.com</code>, <code>ahmeclaw@proton.me</code>)
|-
|NotDoor
|VBA (Outlook macro)
|Variante más simple de MiniDoor, dos etapas, reenvío de correos
|-
|PixyNetLoader
|C++
|Loader con esteganografía PNG, COM hijacking, despliegue de Covenant
|-
|EhStorShell.dll
|DLL
|Falso componente de almacenamiento, ejecuta shellcode desde PNG
|-
|SplashScreen.png
|PNG (imagen)
|Contiene shellcode .NET oculto mediante esteganografía
|-
|Covenant Grunt
|.NET
|Framework post-explotación (fork de Covenant), C2 vía Filen.io
|-
|Bricksteal
|Java Servlet Filter
|(En otras variantes) captura de credenciales en vCenter
|}

=== Infraestructura de C2 ===
{| class="wikitable"
!Proveedor
!Propósito
!URLs/Endpoints
|-
|Filen.io
|C2 principal
|API REST en 24 subdominios (<code>gateway.filen.io</code>, <code>ingest.filen.io</code>, <code>egress.filen.io</code>)
|-
|Koofr
|C2 alternativo
|(Usado en campañas previas)
|-
|Icedrive
|C2 alternativo
|(Usado en campañas previas)
|-
|Dominios de entrega
|WebDAV inicial
|<code>wellnessmedcare[.]org</code>, <code>wellnesscaremed[.]com</code>, <code>freefoodaid[.]com</code>, <code>longsauce[.]com</code> 
|}

=== Cuentas de exfiltración (MiniDoor) ===

* <code>ahmeclaw2002@outlook[.]com</code>
* <code>ahmeclaw@proton[.]me</code>

=== Cuentas de C2 en Filen.io (comprometidas) ===

* <code>fiscalizacionycontrol@cordoba.gov.ar</code> (cuenta gubernamental argentina comprometida)
* <code>jannet.stillman@outlook.com</code> (cuenta privada comprometida)

----

== Detalle Técnico de la Explotación ==

=== Funcionamiento de CVE-2026-21509 ===

# Documento malicioso contiene un objeto OLE especialmente manipulado (ej. <code>Shell.Explorer</code> ActiveX control)
# Al abrir el documento, no se requieren macros ni interacción del usuario
# El objeto OLE realiza una solicitud WebDAV a un servidor controlado por el atacante
# El servidor responde con un archivo LNK (shortcut) que contiene instrucciones maliciosas
# El LNK inicia la descarga del SimpleLoader DLL

=== COM Hijacking para persistencia ===
{| class="wikitable"
!Componente
!Valor
|-
|CLSID hijacked
|<code>{D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D}</code>
|-
|Registro modificado
|<code>HKCU\Software\Classes\CLSID\{D9144DCD...}\InProcServer32</code>
|-
|DLL maliciosa
|<code>EhStoreShell.dll</code> en <code>%PROGRAMDATA%\USOPublic\Data\User\</code>
|-
|ThreadingModel
|"Both" (requisito de carga COM)
|-
|Trigger
|<code>explorer.exe</code> reiniciado → carga COM hijacked → ejecuta DLL maliciosa
|}

=== Esteganografía en PNG ===
El archivo <code>SplashScreen.png</code> contiene un decodificador PNG completo implementado en el malware, que:

# Parsea cabeceras IHDR
# Extrae paleta PLTE
# Descomprime chunks IDAT (zlib inflation)
# Construye tablas Huffman
# Procesa interlazado Adam7
# Extrae shellcode .NET oculto en los chunks de datos

=== Ofuscación y cifrado ===
{| class="wikitable"
!Técnica
!Parámetros
|-
|XOR simple
|Key: <code>0x43</code> para mutex
|-
|XOR alternante
|Con padding null para strings de path
|-
|XOR rotativo
|76 caracteres para payload principal
|-
|RSA
|2048 bits para handshake inicial
|-
|AES
|256 bits (GCM para archivos, CBC para resultados)
|-
|HMAC
|SHA-256 para integridad
|}

=== Sandbox evasion ===

* Sleep timing: 3 segundos + validación ≥2.9 segundos (detecta aceleración de tiempo en sandbox)
* Process name verification: Solo ejecuta si el proceso padre es <code>explorer.exe</code>
* API resolution: Por hash (evita import address table estática)

----

== Víctimas y Sectores Afectados ==
{| class="wikitable"
!Categoría
!Datos
|-
|Países confirmados
|Ucrania, Eslovaquia, Rumania, Polonia, Eslovenia, Turquía, Grecia, Emiratos Árabes Unidos 
|-
|Sectores objetivo
|Ministerios de Defensa (40%), transporte/logística (35%), instituciones diplomáticas (25%)
|-
|Tipos de organización
|Gobierno central, agencias militares, autoridades marítimas, aeropuertos, puertos
|-
|Volumen de phishing
|29 correos distintos, 60+ destinatarios solo en Ucrania 
|-
|Tiempo de residencia
|No especificado (campaña detectada rápidamente por CERT-UA)
|}

=== Ejemplos de nombres de archivo observados ===
{| class="wikitable"
!Nombre de archivo
!Tema del señuelo
|-
|<code>Consultation_Topics_Ukraine(Final).doc</code>
|Consultas UE sobre Ucrania (COREPER)
|-
|<code>BULLETEN_H.doc</code>
|Alerta de contrabando de armas
|-
|<code>Courses.doc</code>
|Invitación a curso militar
|-
|<code>OperInformativ_163.doc</code>
|Alerta meteorológica
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|CVSS
|7.8 (Alto)
|CVE-2026-21509
|-
|Velocidad de weaponización
|CRÍTICA
|24 horas tras divulgación del CVE 
|-
|Detección
|MUY BAJA
|Uso de C2 legítimo (Filen.io), ejecución en memoria, sin macros
|-
|Persistencia
|ALTA
|COM hijacking, tareas programadas, macros de Outlook
|-
|Alcance geográfico
|ALTO
|9+ países, múltiples sectores gubernamentales
|-
|Impacto en datos
|MUY ALTO
|Robo de correos diplomáticos y militares
|}

=== Consecuencias específicas ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Robo de correos diplomáticos
|Crítica
|MiniDoor reenvía automáticamente correos de Outlook a cuentas de atacante 
|-
|Acceso remoto persistente
|Crítica
|Covenant Grunt permite ejecución de comandos y shells inversas 
|-
|Compromiso de comunicaciones gubernamentales
|Crítica
|Objetivos incluyen ministerios de defensa y exteriores
|-
|Escalamiento a OTAN/EU
|Alta
|Posible movimiento lateral desde países objetivo hacia organismos supranacionales
|-
|Fuga de inteligencia militar
|Alta
|Objetivos militares en Polonia, Turquía, Grecia (miembros OTAN)
|}

=== Por qué es especialmente peligroso ===
{| class="wikitable"
!Factor
!Explicación
|-
|Parcheo lento
|CERT-UA advierte que muchas organizaciones no aplicarán parches por inercia o imposibilidad técnica
|-
|Ataque sin macros
|Usuarios entrenados para no habilitar macros, pero este exploit NO requiere macros
|-
|C2 legítimo
|Filen.io es un servicio cloud legítimo → tráfico no bloqueado por firewalls
|-
|Larga historia de APT28
|Grupo con recursos estatales, operando desde 2007
|}
<blockquote>''"Es obvio que en el futuro cercano, incluyendo debido a la inercia del proceso o la imposibilidad de los usuarios de actualizar Microsoft Office y/o usar mecanismos de protección recomendados, el número de ciberataques usando esta vulnerabilidad comenzará a aumentar."''

— CERT-UA </blockquote>
----

== Detección y Respuesta ==

=== Recomendaciones de CERT-UA y CISA ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Aplicar parche de Microsoft
|CRÍTICA
|Actualizar Office 2016, 2019, LTSC 2021, LTSC 2024, M365 Apps
|-
|Reiniciar aplicaciones Office
|ALTA
|Office 2021 y versiones posteriores requieren reinicio para aplicar parche
|-
|Monitorear tráfico a Filen.io
|ALTA
|Bloquear o inspeccionar tráfico a <code>*.filen.io</code> 
|-
|Deshabilitar WebDAV en Office
|MEDIA
|Si no es posible parchear inmediatamente
|-
|Buscar CLSID hijacked
|ALTA
|Buscar <code>{D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D}</code> en registro 
|-
|Buscar tarea "OneDriveHealth"
|ALTA
|Tarea programada maliciosa 
|-
|Buscar archivos EhStoreShell.dll
|ALTA
|En <code>%PROGRAMDATA%\USOPublic\Data\User\</code>
|-
|Buscar SplashScreen.png
|ALTA
|PNG con shellcode oculto
|-
|Habilitar Protected View
|MEDIA
|Bloquea documentos Office de internet no confiables 
|-
|Monitoreo de macros VBA en Outlook
|MEDIA
|NotDoor es un proyecto VBA malicioso
|}

=== Reglas de detección (YARA/Sigma) ===
SOC Prime y CISA han publicado reglas de detección para:

* Creación de <code>EhStoreShell.dll</code> y <code>SplashScreen.png</code>
* Modificaciones de registro en CLSID hijacked
* Creación de tarea programada <code>OneDriveHealth</code>
* Conexiones salientes a dominios Filen.io desde procesos de Office 

=== Script de verificación (PowerShell) ===
powershell
 # Buscar CLSID hijacked en registro
 Get-ChildItem -Path "HKCU:\Software\Classes\CLSID\" -Recurse | Where-Object {$_.PSChildName -eq "{D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D}"}
 
 # Buscar tarea programada maliciosa
 Get-ScheduledTask | Where-Object {$_.TaskName -eq "OneDriveHealth"}
 
 # Buscar archivos del malware
 Get-ChildItem -Path "$env:PROGRAMDATA\USOPublic\Data\User\" -ErrorAction SilentlyContinue
----

== Relación con otras campañas de APT28 ==
{| class="wikitable"
!Campaña
!Fecha
!Relación con Neusploit
|-
|Operación Phantom Net Voxel
|Septiembre 2025
|Uso de Covenant Grunt, COM hijacking, esteganografía PNG (precursora)
|-
|BeardShell / SlimAgent
|Junio 2025
|Mismo loader (SimpleLoader/PixyNetLoader) vía Signal chats
|-
|NotDoor campaigns
|2025
|MiniDoor es simplificación de NotDoor
|-
|Campañas con Koofr/Icedrive
|2024-2025
|Uso de otros servicios cloud para C2
|}
Patrón: APT28 refina sus TTPs constantemente, pero mantiene elementos centrales:

# Explotación rápida de vulnerabilidades 0-day/n-day
# Abuso de servicios cloud legítimos para C2
# COM hijacking para persistencia
# Esteganografía en imágenes PNG
# Objetivos gubernamentales y militares en Europa

----

== Opiniones de Expertos ==
<blockquote>*"Esta campaña del grupo vinculado a Rusia APT28 se dirigió a países de Europa Central y Europa del Este con archivos RTF especialmente manipulados que explotan CVE-2026-21509, resultando en el despliegue de MiniDoor y PixyNetLoader. La investigación de ThreatLabz destaca que APT28 continúa evolucionando sus TTPs al weaponizar las últimas vulnerabilidades en aplicaciones populares como Microsoft Office."*

— Zscaler ThreatLabz </blockquote><blockquote>*"El adversario orquestó un ataque de phishing concentrado de 72 horas (28-30 de enero de 2026), enviando al menos 29 correos electrónicos distintos a nueve países de Europa del Este. Los objetivos principales fueron Ministerios de Defensa (40%), transportistas/operadores logísticos (35%) e instituciones diplomáticas (25%)."*

— Trellix Research</blockquote><blockquote>''"APT28 utiliza puertos de red virtuales temporales (AKA 'Ghost NICs') para pivotar desde VMs comprometidas a entornos internos o SaaS, una técnica nueva que Mandiant no había observado antes en sus investigaciones."''

— Mark Karayan, Gerente de Comunicaciones de Mandiant (sobre campaña relacionada con Brickstorm)</blockquote><blockquote>''"La velocidad de weaponización de APT28 es asombrosa. Con el parche publicado un lunes, tenían un documento funcional listo el martes y el miércoles ya estaban enviando cientos de correos a objetivos gubernamentales. Esto no es oportunismo; es una capacidad de respuesta preposicionada, con infraestructura lista para ser activada en horas. La reutilización de servicios cloud legítimos como Filen.io como C2 es particularmente preocupante porque el tráfico hacia estos dominios nunca levanta sospechas en los firewalls corporativos. Esta campaña demuestra que, en 2026, los APT estatales miden su tiempo de respuesta en horas, no en días."''

— Fernando Vargas (CiberAnalyst)</blockquote>
----

== Referencias y Fuentes ==

# Paganini, P. (2026, 3 de febrero). ''APT28 exploits Microsoft Office flaw in Operation Neusploit''. Security Affairs. 
# CIRCL. (2026, 2 de febrero). *CVE-2026-21509 - Vulnerability Comment*. Computer Incident Response Center Luxembourg. 
# Pham, D. P. & Lanstein, A. (2026, 4 de febrero). *APT28’s Stealthy Multi-Stage Campaign Leveraging CVE‑2026‑21509 and Cloud C2 Infrastructure*. Trellix. 
# The Register. (2026, 2 de febrero). *Russia-linked APT28 attackers already abusing new Microsoft Office zero-day*. 
# Trellix Research. (2026, febrero). ''Chinese translation of APT28 campaign analysis''. WeChat / Trellix.
# EnigmaSoft. (2026, 3 de febrero). *CVE-2026-21509 Microsoft Office Vulnerability*. 
# Toulas, B. (2026, 2 de febrero). ''Russian hackers exploit recently patched Microsoft Office bug in attacks''. BleepingComputer. 
# ThaiCERT. (2026, 4 de febrero). ''APT28 Hackers Exploit Newly Patched Microsoft Office Vulnerability''. 
# SOC Prime. (2026, 2 de febrero). *CVE-2026-21509 Explotado por APT28 a través de WebDAV y COM*. 
# Expert Insights. (2026, 6 de febrero). ''Russian-Backed Group Weaponizes New Microsoft Office Flaw''. 
# Borncity Redaktion. (2026, 7 de junio). ''Microsoft Office: Russische Hacker kapern Behördennetzwerke in EU''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-06-11
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en informes de Zscaler, Trellix, CERT-UA, BleepingComputer, Security Affairs, CIRCL, ThaiCERT, SOC Prime y Borncity
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Dominios maliciosos (entrega WebDAV) ===
{| class="wikitable"
!Dominio
!Propósito
|-
|<code>wellnessmedcare[.]org</code>
|Hosting de payloads iniciales
|-
|<code>wellnesscaremed[.]com</code>
|Hosting de payloads iniciales
|-
|<code>freefoodaid[.]com</code>
|Hosting de payloads iniciales
|-
|<code>longsauce[.]com</code>
|Hosting de payloads iniciales
|}

=== Plataformas C2 (servicios cloud legítimos abusados) ===
{| class="wikitable"
!Plataforma
!Propósito
!Endpoints
|-
|Filen.io
|C2 principal
|<code>gateway.filen.io</code>, <code>ingest.filen.io</code>, <code>egress.filen.io</code> (24 subdominios)
|-
|Koofr
|C2 alternativo (campañas previas)
|—
|-
|Icedrive
|C2 alternativo (campañas previas)
|—
|}

=== Cuentas de exfiltración (MiniDoor) ===
{| class="wikitable"
!Cuenta
!Proveedor
|-
|<code>ahmeclaw2002@outlook[.]com</code>
|Microsoft Outlook
|-
|<code>ahmeclaw@proton[.]me</code>
|ProtonMail
|}

=== Cuentas C2 comprometidas en Filen.io ===
{| class="wikitable"
!Cuenta
!Origen
|-
|<code>fiscalizacionycontrol@cordoba.gov.ar</code>
|Gobierno de Córdoba, Argentina (comprometida)
|-
|<code>jannet.stillman@outlook.com</code>
|Usuario privado (comprometida)
|}

=== Archivos maliciosos ===
{| class="wikitable"
!Nombre de archivo
!Propósito
|-
|<code>Consultation_Topics_Ukraine(Final).doc</code>
|Primer documento weaponizado 
|-
|<code>BULLETEN_H.doc</code>
|Señuelo de alerta de contrabando
|-
|<code>Courses.doc</code>
|Señuelo de invitación a curso militar
|-
|<code>OperInformativ_163.doc</code>
|Señuelo de alerta meteorológica
|-
|<code>EhStoreShell.dll</code>
|Loader malicioso (COM hijacking) 
|-
|<code>SplashScreen.png</code>
|Imagen con shellcode oculto 
|-
|<code>VbaProject.OTM</code>
|Proyecto VBA de Outlook (NotDoor) 
|}

=== Componentes de persistencia ===
{| class="wikitable"
!Componente
!Valor
|-
|CLSID hijacked
|<code>{D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D}</code> 
|-
|Tarea programada
|<code>OneDriveHealth</code> 
|-
|Ruta DLL
|<code>%PROGRAMDATA%\USOPublic\Data\User\EhStoreShell.dll</code> 
|}

=== Hashes (no especificados en fuentes públicas) ===
Para hashes actualizados de <code>EhStoreShell.dll</code>, <code>SplashScreen.png</code> y otros componentes, consultar:

* El informe de Zscaler ThreatLabz
* El repositorio de CERT-UA
* Los feeds de inteligencia de amenazas de Trellix

=== Reglas de detección ===
SOC Prime ha publicado reglas Sigma para detectar:

* Creación de <code>EhStoreShell.dll</code>
* Modificaciones de registro en <code>InProcServer32</code> del CLSID hijacked
* Creación de tarea programada <code>OneDriveHealth</code>
* Conexiones salientes a <code>*.filen.io</code> desde procesos de Office 

----

== Preguntas sin respuesta ==
{| class="wikitable"
!Pregunta
!Estado
|-
|¿Cuántas organizaciones fueron comprometidas exitosamente (no solo atacadas)?
|No especificado públicamente
|-
|¿APERTURA: APT28 utilizó la misma vulnerabilidad para atacar otras regiones?
|Probable, pero no confirmado
|-
|¿Las cuentas gubernamentales comprometidas (Rumania, Bolivia, Ucrania) fueron rotadas?
|No especificado
|-
|¿El parche de Microsoft (26 de enero) cubre todas las versiones de Office?
|Sí, pero requiere reinicio en Office 2021+ 
|-
|¿Hay evidencia de movimiento lateral desde víctimas iniciales a OTAN/EU?
|No documentado públicamente
|}
----

== Etiquetas / Categorías ==
text
 apt28 uac-0001 fancy-bear operation-neusploit cve-2026-21509 microsoft-office-zero-day spear-phishing ukraine-cyberattack eu-government-hack russian-cyber-espionage webdav-exploit com-hijacking covenant-framework filen-io-c2 mini-door-malware pixynetloader notdoor-beardshell sandbox-evasion steganography-png fileless-malware