Hackers rusos aprovechan una brecha en Microsoft Office para atacar direcciones asociadas al Gobierno ucraniano

Los análisis realizados por el Equipo de Respuesta a Emergencias Informáticas (CERT) de Ucrania permitieron determinar que los archivos utilizados en los recientes ciberataques poseen metadatos recientes, creados tan solo un día después de la publicación de la actualización de seguridad por parte de Microsoft, según informó el medio fuente. Los ataques se dirigieron a un total de sesenta direcciones de correo electrónico vinculadas al Gobierno ucraniano, con la distribución de documentos .doc fraudulentos que aparentaban proceder del Comité de Representantes Permanentes (Coreper) en Ucrania o del Centro Hidrometeorológico ucraniano.

El CERT ucraniano alertó, de acuerdo con la plataforma de noticias, que estos incidentes ocurrieron pocos días después de que Microsoft identificara y corrigiera una vulnerabilidad explotada activamente, denominada CVE-2026-21509. El 26 de enero, Microsoft lanzó una actualización de seguridad para Office con el propósito de abordar esta brecha, que permitía a un atacante sortear ciertos mecanismos locales de protección, facilitando el acceso a los sistemas afectados.

Según detalló la fuente, la táctica de los atacantes consistió en enviar archivos adjuntos maliciosos disfrazados en correos oficiales. Una vez que el destinatario abría el documento, se iniciaba una secuencia que permitía la descarga e instalación de malware empleando la técnica de 'COM hijacking', un método que explota el Modelo de Objetos Componentes de Windows. El CERT describió que dicho procedimiento instalaba una librería dinámica dañina (EhStoreShell.dll), un código de ejecución (shellcode) oculto en un archivo de imagen (SplashScreen.png) y una tarea programada denominada OneDriveHealth.

El informe oficial explicó que, al ejecutarse la tarea programada, el proceso explorer.exe era detenido y luego reiniciado, procedimiento que garantizaba la carga de la DLL maliciosa. Este archivo, a su vez, ejecutaba el shellcode incrustado en la imagen y ponía en funcionamiento la herramienta COVENANT, un software que utiliza almacenamiento en la nube para el control remoto y la persistencia en los equipos comprometidos, tal como publica la fuente citada.

El CERT atribuyó estas operaciones al grupo APT28, también identificado como Fancy Bear o Sofacy, que se asocia con la Dirección Principal de Inteligencia del Estado Mayor de Rusia (GRU). Según reportó la misma fuente, este grupo enfrenta acusaciones previas por parte de agencias internacionales, señalándolos como responsables de ataques similares dirigidos contra entidades en la Unión Europea.

Por su parte, Microsoft comunicó al medio fuente la implementación de una medida adicional que refuerza la seguridad ante este tipo de amenazas. La empresa anunció que su antivirus, Defender, ahora bloquea por defecto los archivos de Office provenientes de Internet cuando se consideran sospechosos, a menos que el usuario los marque explícitamente como seguros, dificultando así la explotación de brechas de seguridad recién descubiertas.

El CERT remarcó la celeridad con la que los atacantes adaptaron su estrategia tras la divulgación del parche de Microsoft. Según se consigna en su informe, los documentos maliciosos analizados fueron elaborados en un plazo muy breve posterior a la actualización oficial, lo que sugiere un seguimiento directo de los comunicados de las empresas tecnológicas para aprovechar vulnerabilidades de reciente divulgación antes de su adopción generalizada por los usuarios.

El reporte también destacó la precisión con la que se seleccionaron los destinatarios, puestos que todos los correos electrónicos atacados mantenían vinculación directa con organismos oficiales ucranianos. Este patrón, de acuerdo con lo informado por el medio, refuerza la hipótesis de una campaña dirigida y coordinada desde estructuras asociadas a servicios de inteligencia externos. Los mecanismos utilizados buscaban no solo el acceso sino también la permanencia oculta en los sistemas comprometidos mediante herramientas avanzadas de control remoto y técnicas que dificultan la detección por parte de las soluciones convencionales de ciberseguridad.

Finalmente, la publicación de la fuente subrayó que este tipo de incidentes refleja la evolución constante de las amenazas informáticas, especialmente en contextos de conflicto donde los ataques cibernéticos se integran dentro de estrategias más amplias de desestabilización y espionaje institucional. Tanto las autoridades ucranianas como Microsoft recomendaron reforzar la actualización de sistemas y la vigilancia ante la recepción de documentos y enlaces no verificados como principal medida de mitigación frente a ataques similares.