APT28 Explora 0-day MSHTML (CVE-2026-21513) via Arquivos LNK para Burlar Sandbox do Windows

O grupo APT28 (Fancy Bear), atribuído ao serviço de inteligência militar russo GRU, foi observado explorando uma vulnerabilidade zero-day no componente MSHTML do Windows — identificada como CVE-2026-21513 (CVSS 9.1) — utilizando arquivos .lnk especialmente criados como vetor de entrega inicial.

A falha permite execução de código arbitrário sem qualquer interação do usuário além de abrir a pasta que contém o arquivo malicioso — um mecanismo de "zero-click" que contorna as proteções da sandbox do Windows (Windows Protected Mode e Mark-of-the-Web).

Cadeia de Ataque

A campanha começa com e-mails de spear phishing altamente personalizados, direcionados a funcionários de governo e defesa no Leste Europeu e América do Sul. Os anexos são arquivos .zip com um documento isca PDF e um arquivo .lnk oculto.

• Stage 1 — O arquivo .lnk executa via MSHTML uma DLL de dropper ofuscada em memória
• Stage 2 — A DLL injeta shellcode no processo explorer.exe usando Process Hollowing
• Stage 3 — Implante Headlace configurado com C2 rotativo via CDN legítimo
• Persistência — Entrada de Run Key + COM Object Hijacking para sobreviver a reinicializações

"A técnica de abusar do MSHTML via arquivos LNK não é nova, mas a variante CVE-2026-21513 apresenta um bypass de sandbox completamente novo que não havia sido documentado publicamente."

— Equipe CYBERBOX Threat Intel

Implante Headlace: Novo Backdoor do APT28

O implante Headlace, identificado pela primeira vez nesta campanha, utiliza Cloudflare Workers como proxy de C2 — tornando o tráfego praticamente indistinguível de navegação web legítima. Características técnicas identificadas:

• Beaconing via HTTPS com jitter randomizado entre 3 e 11 minutos
• Comandos codificados em Base64 dentro de cookies HTTP
• Suporte a exfiltração de arquivos, captura de tela e keylogging
• Auto-deleção em ambientes de sandbox detectados via timing attacks

IOCs Identificados

# Domínios de C2 (via Cloudflare Workers)
intel-updates[.]workers.dev
secure-docs[.]pages.dev
gov-notify[.]workers.dev

# IPs de staging (descartados após 72h)
45.142.212.100
185.220.101.47

Recomendações

• Aplicar imediatamente o patch KB5043145 (Windows Update de março 2026)
• Habilitar auditoria de criação de processos (Event ID 4688) com linha de comando completa
• Bloquear execução de arquivos LNK provenientes de emails via regras de ASR
• Monitorar injeção de código em explorer.exe (Event ID 10, Sysmon)
• Revisar registros de COM Object Hijacking em HKCU\Software\Classes