Blitz Zero-Day: Hacker russi sfruttano una falla di Microsoft Office per violare diplomatici e reti di trasporto

Tutto è iniziato con un aggiornamento silenzioso: una patch urgente di Microsoft, rilasciata a tarda sera di un giovedì. Entro il lunedì mattina, i difensori informatici di tutto il mondo erano già in difficoltà. Nel giro di poche ore, il gruppo di hacker legato allo Stato russo noto come APT28, o Fancy Bear, aveva analizzato la correzione, trasformato la vulnerabilità in un’arma e lanciato una campagna fulminea contro ministeri, diplomatici e operatori dei trasporti su più continenti. Il messaggio era chiaro: nel mondo ad alta posta in gioco dello spionaggio informatico, non esiste una finestra davvero sicura.

L’anatomia di un attacco a colpo di fulmine

Quando Microsoft ha rilasciato una patch non programmata per correggere CVE-2026-21509, i team di sicurezza hanno capito che la situazione era seria. Ciò che non si aspettavano era la rapidità con cui gli avversari avrebbero reagito. Secondo una ricerca di Trellix, APT28 non ha perso tempo a fare reverse engineering dell’aggiornamento. In meno di due giorni, aveva già realizzato un nuovo exploit, insinuandosi nelle reti senza farsi notare prima ancora che molte organizzazioni riuscissero ad applicare la patch.

La campagna del gruppo è stata una lezione magistrale di furtività e velocità. La prima ondata è iniziata il 28 gennaio, con almeno 29 email di spear phishing inviate a bersagli selezionati con cura. Le esche provenivano da account email governativi legittimi, compromessi in precedenza in altri attacchi, risultando così ancora più convincenti per i destinatari in Polonia, Slovenia, Turchia, Grecia, Emirati Arabi Uniti, Ucraina, Romania, Bolivia e oltre. I bersagli erano di alto valore: ministeri della difesa (40%), aziende di trasporto e logistica (35%) ed entità diplomatiche (25%).

Una volta dentro, gli attaccanti hanno distribuito due impianti malware mai visti prima. Questi payload erano fileless, eseguiti esclusivamente in memoria e cifrati per eludere anche le protezioni endpoint più sofisticate. La catena d’infezione era modulare: dalla prima email di phishing a una backdoor in memoria, quindi a impianti secondari, il tutto comunicando silenziosamente via HTTPS attraverso piattaforme cloud affidabili. Questo ha permesso agli hacker di operare in piena vista, confondendosi con il normale traffico di rete e aggirando le misure di sicurezza standard.

Gli esperti di sicurezza affermano che l’attacco evidenzia una tendenza inquietante: gli attori allineati agli Stati sono ormai in grado di trasformare nuove vulnerabilità in armi in tempi record. La finestra a disposizione dei difensori per applicare patch e proteggere i sistemi critici si sta restringendo, e le conseguenze dei ritardi sono più gravi che mai.

Una partita di ore, non di giorni

La posta in gioco di questa campagna va ben oltre l’aspetto tecnico. Lo sfruttamento rapidissimo di CVE-2026-21509 è un avvertimento netto: nel campo di battaglia cyber di oggi, nemmeno i più grandi fornitori tecnologici al mondo possono garantire sicurezza una volta che una falla viene rivelata. Per i difensori, la vigilanza non basta più. Velocità, coordinamento e un’attenzione incessante alla gestione delle patch sono gli unici modi per tenere a bada gli avversari. Come dimostra l’ultimo blitz di Fancy Bear, il prossimo attacco potrebbe essere già in corso prima ancora che l’inchiostro si asciughi su un avviso di sicurezza.

WIKICROOK

• Zero: Una vulnerabilità zero-day è una falla di sicurezza nascosta, sconosciuta al produttore del software, per la quale non esiste ancora una correzione, rendendola estremamente preziosa e pericolosa per gli attaccanti.
• Spear phishing: Lo spear phishing è una truffa via email mirata in cui gli attaccanti si spacciano per fonti affidabili per indurre le persone a rivelare informazioni sensibili o a scaricare malware.
• Malware fileless: Il malware fileless è un software malevolo che viene eseguito nella memoria del computer, evitando la scrittura su disco e rendendo difficile il rilevamento da parte degli strumenti di sicurezza tradizionali.
• Protezione endpoint: La protezione endpoint è un software di sicurezza che protegge i singoli dispositivi, come computer e smartphone, da malware, ransomware e altre minacce informatiche.
• Comando e controllo (C2): Il comando e controllo (C2) è il sistema che gli hacker usano per controllare da remoto i dispositivi infetti e coordinare attacchi informatici malevoli.