Российские организации подверглись кибератакам с использованием опасной уязвимости Windows, позволяющей обходить защитные механизмы системы и запускать вредоносный код. Злоумышленники распространяли документы Word, замаскированные под служебные приказы, и пытались установить на компьютеры скрытый бэкдор. Вредоносная программа передавала управляющему серверу сведения о пользователе и компьютере, загружала дополнительные сценарии и выполняла полученный код. Один из обнаруженных сценариев собирал подробную информацию о заражённой системе.
Атакующую кампанию обнаружили специалисты группы киберразведки PT ESC компании Positive Technologies. Исследователи восстановили многоступенчатую цепочку заражения, в которой использовалась уязвимость CVE-2026-21513 компонента MSHTML. Microsoft выпустила исправление в феврале 2026 года, однако специалисты PT ESC обнаружили применение уязвимости в атаках на российские организации.
Первым звеном атаки служил документ Word с названием «2026 Приказ от 08.10.2026 25-118ап.docx». Внутри файла находилась ссылка на удалённый сервер cloudpostmail.net. При обработке внешнего содержимого Word обращался к серверу и получал документ, который имел расширение DOC, но фактически представлял собой файл формата RTF.
В загруженном документе исследователи обнаружили два встроенных OLE-объекта со ссылками на удалённый ярлык Windows. Для обращения к нему использовался протокол WebDAV, позволяющий работать с файлами на удалённом сервере через интернет. Ярлык оказался необычным: злоумышленники объединили в одном файле стандартную структуру LNK и HTML-код с инструкциями для эксплуатации уязвимости.
CVE-2026-21513 затрагивает MSHTML, системный компонент Windows для обработки HTML-содержимого. Ошибка проверки адресов при переходе по ссылкам позволяет обойти защитные ограничения и передать запуск файла оболочке Windows. В обнаруженной цепочке вредоносный HTML создавал вложенные фреймы и задействовал уязвимый механизм, чтобы запустить ярлык и загрузить DLL-библиотеку. Уязвимость получила оценку 8,8 балла по шкале CVSS и вошла в перечень активно эксплуатируемых уязвимостей американского агентства CISA.
Чтобы затруднить анализ атаки, злоумышленники скрыли часть JavaScript-кода. Некоторые строки записали в обратном порядке, остальные представили в виде числовых кодов Unicode. Во время выполнения скрипт восстанавливал исходные инструкции и запускал их, затрудняя анализ вредоносного содержимого.
При успешной эксплуатации уязвимости цепочка переходила к установке бэкдора. Вредоносная DLL-библиотека eNlJ.d запускала системную утилиту mshta.exe, которая загружала с удалённого сервера HTA-приложение crmASA. Установщик получал дополнительную полезную нагрузку, декодировал содержимое из Base64 и сохранял JScript-бэкдор под именем microsoft_update.js в каталоге C:\ProgramData\Microsoft OneDrive\Microsoft Update.
Для закрепления в системе установщик создавал задачу планировщика Windows с названием MicrosoftEdgeUpdateTaskMachineWorker. Название напоминало штатный механизм обновления Microsoft Edge, хотя задача предназначалась для запуска вредоносного сценария через системный обработчик wscript.exe. Установщик сразу активировал задачу и настраивал повторный запуск каждые 30 минут, обеспечивая регулярное восстановление связи с управляющим сервером.
При каждом запуске бэкдор отправлял на сервер supportxml.org имя пользователя, название компьютера и домен Windows. Затем программа запрашивала дополнительные инструкции, декодировала полученный JScript-код и выполняла его непосредственно в процессе wscript.exe. Подобный механизм позволял операторам менять действия вредоносной программы без повторного заражения компьютера или замены установленного файла. Команды выполнялись с правами пользователя, от имени которого запускался сценарий.
Специалистам PT ESC удалось получить с управляющего сервера дополнительный вредоносный сценарий. Программа собирала сведения об операционной системе, установленных обновлениях и приложениях, запущенных процессах, пользовательских учётных записях, группах, сетевых настройках и активных соединениях. Полученная информация позволяла злоумышленникам изучать заражённый компьютер и его сетевое окружение для подготовки дальнейших действий.
Перед сбором сведений сценарий пытался очистить файловые кэши Microsoft Office и Internet Explorer, потенциально удаляя следы первоначального проникновения. Результаты системных команд временно сохранялись в файл temp.txt, после чего программа считывала содержимое, удаляла файл и передавала собранную информацию на управляющий сервер. Дополнительный сценарий выполнялся в оперативной памяти без сохранения отдельного файла с полезной нагрузкой.
Для поиска возможных заражений исследователи рекомендуют проверить обращения к доменам cloudpostmail.net и supportxml.org, особенно соединения по WebDAV и подозрительные запросы к управляющему серверу. На компьютерах следует обратить внимание на файл microsoft_update.js, задачу MicrosoftEdgeUpdateTaskMachineWorker и запуски mshta.exe с внешними адресами.
Microsoft выпустила исправление CVE-2026-21513 в феврале 2026 года, поэтому установка обновлений безопасности Windows позволяет закрыть использованный злоумышленниками механизм проникновения. Однако обновление системы не удаляет вредоносную программу, если заражение уже произошло. Для проверки необходимо отдельно исследовать подозрительные файлы, задачи планировщика и сетевую активность.
