UAC-0001（APT28）によるCVE-2026-21509を使用した攻撃

概要

APT28（UAC-0001として追跡中）は、新たに公開されたMicrosoft Officeの脆弱性CVE-2026-21509を利用して、ウクライナ政府の標的およびEU全体の組織に対して悪意のあるペイロードを配信しています。侵入は、追加のコンポーネントを取得するためのWebDAVリクエストを強制する武器化されたDOCファイルから始まり、COMハイジャックを設定してCovenantフレームワークを起動するDLLベースのローダーを実行します。この活動はまた、正当な Filen クラウドストレージをネットワークインフラストラクチャの一部として活用しています。このキャンペーンは2026年1月末に観測されました。

調査

悪意のあるDOCファイルの分析では、Officeで開くとWebDAV接続が開始され、EhStoreShell.dllという名前のDLLとPNGシェルコード画像がダウンロードされることが示されました。このDLLは、CLSID COM登録のハイジャックを介して永続化され、OneDriveHealthという名前のスケジュールされたタスクが作成され、explorer.exeをトリガーしてハイジャックされたCOMオブジェクトをロードします。このローダーはその後Covenantを起動し、オペレーターの制御はFilen支援のエンドポイントを介して行われます。

緩和策

遅延なくCVE-2026-21509に対応するMicrosoftのOfficeアップデートを適用してください。可能であれば、Office内でのWebDAVの使用を無効化または厳しく制限してください。悪意のあるCLSIDレジストリ登録を削除し、OneDriveHealthのスケジュールタスクを削除してください。Filenのドメインおよび関連するIPへのアウトバウンドアクセスをブロックし、上記で示唆されたDLLとPNGアーティファクトの作成をエンドポイントで監視してください。

対応

EhStoreShell.dll、SplashScreen.pngの作成とハイジャックされたCLSIDレジストリパス下の変更をアラートとして通知してください。OneDriveHealthに一致するスケジュールタスクの作成を検出し、調査してください。Officeプロセスの活動とFilenドメインへのアウトバウンド接続を関連付け、関連するドキュメントを隔離し、影響を受けたシステムで完全なホストフォレンジックを実行してください。

シミュレーション実行

前提条件：テレメトリー＆ベースラインのプリフライトチェックが通過している必要があります。

根拠：このセクションは、検出ルールをトリガーするために設計された対敵技術（TTP）の正確な実行を詳述しています。コマンドと説明は、識別されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリーを生成することを目的としなければなりません。抽象的または無関連な例は誤診を引き起こします。

• 攻撃の説明とコマンド：
  対敵者が被害者のマシンに足掛かりを得て、持続可能でステルスなコード実行を達成したいと考えています。彼らは正当なソフトウェアによって参照される可能性が低い稀に使われるCLSID {D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D} を選択します。PowerShell（T1218.010）を使用して、悪意のあるDLLのパスを書き込み、オプションで InProcServer32 サブキーに ThreadingModel の値を設定して、 "Both" としてCOMローディング要件を満たすようにします。登録後、このCOMオブジェクトをインスタンス化しようとする正当なアプリケーションは、攻撃者によって制御されたDLLをロードし、その後 rundll32.exe (T1218.009)を使用して攻撃者のC2インフラストラクチャ（T1584.001）に接続するペイロードを実行する可能性があります。

• リグレッションテストスクリプト：

  # -------------------------------
  # COMハイジャックシミュレーション (T1546.015)
  # -------------------------------
  $clsid = '{D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D}'
  $regPath = "HKLM:SoftwareClassesCLSID$clsidInProcServer32"
  
  # キーが存在することを確認
  New-Item -Path $regPath -Force | Out-Null
  
  # デフォルト値を悪意のあるDLLパスに設定（DLLがすでにディスク上にあると仮定）
  $maliciousDll = "C:Tempevil.dll"
  Set-ItemProperty -Path $regPath -Name '(Default)' -Value $maliciousDll
  
  # オプション：ThreadingModelをBothに設定（一部のCOMオブジェクトがこれを必要とします）
  Set-ItemProperty -Path $regPath -Name 'ThreadingModel' -Value 'Both'
  
  Write-Host "[+] CLSID $clsidのレジストリハイジャックが作成され、$maliciousDllにポイントします"

• クリーンアップコマンド：

  # -------------------------------
  # COMハイジャックシミュレーションクリーンアップ
  # -------------------------------
  $clsid = '{D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D}'
  $regPath = "HKLM:SoftwareClassesCLSID$clsid"
  
  # CLSIDキー全体のツリーを削除
  if (Test-Path $regPath) {
      Remove-Item -Path $regPath -Recurse -Force
      Write-Host "[+] ハイジャックされたCLSID $clsidをレジストリから削除しました。"
  } else {
      Write-Host "[*] CLSID $clsidが存在しないため、クリーンアップは不要です。"
  }