TTS-Player überspringen↵Artikel weiterlesen
Microsoft warnt vor einer Zero-Day-Lücke in Office. Sicherheitsforscher melden, dass Angreifer die Schwachstelle bereits aktiv ausnutzen. Der Einstieg erfolgt über manipulierte RTF-Dateien im Mail-Anhang, die unbemerkt Schadcode starten können.
Zscalers ThreatLabz beobachtet seit Januar eine Kampagne, die als „Operation Neusploit“ bezeichnet wird. Die Angriffe werden APT28 zugeschrieben, einer Gruppe, die mit Russland in Verbindung steht und für staatlich gesteuerte Operationen bekannt ist.
Angriff über manipulierte RTF-Anhänge
Ausgenutzt wird die Schwachstelle (CVE-2026-21509) in Microsoft Office. Die Angreifer setzen auf Social-Engineering-Mails mit seriös wirkenden Inhalten und platzieren präparierte Rich-Text-Dateien (RTF) im Anhang.
Die Kampagne trifft vor allem Ziele in Mittel- und Osteuropa. Die Nachrichten sind auf Englisch sowie Rumänisch, Slowakisch und Ukrainisch verfasst, um Empfänger zum Öffnen der Datei zu bewegen.
Mehr zum ThemaInfektion in mehreren Stufen
Beim Öffnen greift die Lücke in der Office-Verarbeitung ohne sichtbare Warnmeldung oder Rückfrage. Die Infektionskette nutzt zwei Dropper-Varianten, die erst später weitere Schadsoftware nachladen. Eine davon liest Outlook-Mails aus und verändert die Windows-Registry, um Sicherheitsfunktionen zu umgehen.
Die zweite Variante kann nach Installation der Nutzlast ein gefährliches Malware-Implantat nachreichen, das den Hackern die komplette Kontrolle über den betroffenen Rechner gibt. Zur Tarnung wird die Nutzlast nur an geografisch festgelegte Ziele ausgeliefert, was die Entdeckung erschwert.
Nutzer müssen reagieren
Für Office 2021, Office 2024 und Microsoft 365 kommt der Patch per Update. Damit die Installation abgeschlossen wird, ist ein Neustart der Anwendungen erforderlich.
Für Office 2016 und Office 2019 ist das Sicherheitsupdate manuell zu installieren. Alternativ nennt Microsoft eine Registry-Änderung als Sofortmaßnahme gegen die Angriffe.