Откройте, это приказ: эксплуатация CVE-2026-21513 для доставки JScript-бэкдора

Группа киберразведки PT ESC обнаружила эксплуатацию уязвимости CVE-2026-21513 в атаках на российские организации. Начальным звеном цепочки служил DOCX-документ «2026 Приказ от 08.10.2026 25-118ап.docx», замаскированный под служебный приказ. Анализ файла и связанных компонентов позволил восстановить цепочку доставки JScript-бэкдора. Ниже в статье читайте поробности.

Статья носит исключительно информационный характер и не является инструкцией или призывом к совершению противоправных действий. Ее цель — исключительно образовательная: рассказать о существующих уязвимостях и векторах атак, которыми могут воспользоваться злоумышленники, предостеречь пользователей и дать рекомендации по защите. Автор не несет ответственности за неправомерное использование опубликованной информации.

Как начинается цепочка

Адрес следующего документа хранится внутри DOCX, в word/_rels/webSettings.xml.rels. Ссылка ведет на cloudpostmail.net. Word обращается к серверу при обработке внешнего фрейма и получает файл с расширением DOC, который по содержимому оказывается RTF.

В RTF находятся два OLE-объекта компонента Shell.Explorer.1 с CLSID EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B. В потоке CONTENTS обоих объектов сохранены ссылки на удаленный ярлык UKuFuXj.lNk. Первый объект показан на скриншоте ниже. Один из адресов:

\\cloudpostmail.net@ssl\xcbuvhjg\UKuFuXj.lNk

Маркер @ssl задает обращение через WebDAV по HTTPS. Обработкой такого пути занимается служба WebClient.

Что скрывает ярлык

В UKuFuXj.lNk совмещены Windows-ярлык и HTML со скриптом. Двоичная часть указывает на удаленную DLL eNlJ.d, а HTML содержит код эксплуатации CVE-2026-21513. Он начинается со смещения 0xde, то есть после первых 222 байт файла.

CVE-2026-21513 затрагивает MSHTML — компонент Windows для обработки HTML, который используется и во встроенных элементах Word. Ошибка проверки адреса при переходе по ссылке позволяет обойти защитные ограничения для содержимого из интернета и передать запуск файла оболочке Windows. В результате специально подготовленный HTML может привести к выполнению кода за пределами предусмотренного браузерного контекста.

В этой цепочке HTML внутри ярлыка создает вложенные фреймы и вызывает уязвимый механизм перехода по ссылке. При успешной эксплуатации это позволяет перейти от обработки HTML к запуску LNK и загрузке указанной в нем библиотеки eNlJ.d.

Чтобы затруднить анализ, злоумышленники записали часть строк в обратном порядке, а другую часть — в виде кодов символов Unicode. Скрипт восстанавливает из них инструкции и выполняет их через execScript. Ниже показан декодированный фрагмент, вызывающий уязвимый механизм.

<html>
<body>
<iframe src="about:blank">
</iframe>
<iframe src="about:blank">
</iframe>
<script defer>window[1].document.Script.open("http:///","_parent")</script>
</body>
</html>

Как устанавливается бэкдор

eNlJ.d — это вредоносная DLL-библиотека, которая служит промежуточным загрузчиком: при загрузке запускает системную утилиту mshta.exe и передает ей адрес crmASA на cloudpostmail.net.

crmASA — вредоносный HTA-файл, который работает как установщик бэкдора: загружает ресурс IiVe, декодирует его содержимое из Base64 и сохраняет полученный JScript-сценарий по пути:

C:\ProgramData\Microsoft OneDrive\Microsoft Update\microsoft_update.js

За закрепление отвечает этот же HTA-установщик. Он создает задачу MicrosoftEdgeUpdateTaskMachineWorker, которая запускает сохраненный microsoft_update.js через штатный обработчик сценариев Windows wscript.exe. HTA сразу запускает задачу и настраивает ее повторный запуск каждые 30 минут. Сам JS-бэкдор задачу не создает.

Что получает оператор

При каждом запуске microsoft_update.js отправляет на supportxml.org/xcbuvhjg/WkbE имя пользователя, имя компьютера и домен. Эти сведения позволяют оператору различать зараженные устройства и определять, из какой учетной записи и домена работает скрипт.

Затем бэкдор запрашивает у сервера JScript-код, декодирует ответ из Base64 и выполняет его через eval внутри процесса wscript.exe. Так оператор может менять задания без замены самого бэкдора. Полученный код работает с правами пользователя, от имени которого запущен скрипт.

Внутри бэкдора нет постоянного цикла опроса сервера: повторный запуск каждые 30 минут обеспечивает созданная HTA-установщиком задача планировщика.

Дополнительный сценарий WkbE

С адреса supportxml.org/xcbuvhjg/WkbE нам удалось получить дополнительную полезную нагрузку — JScript-сценарий, закодированный в Base64. Бэкдор декодирует его и выполняет в памяти процесса wscript.exe, не сохраняя сам сценарий отдельным файлом на диск.

Полезная нагрузка проводит разведку системы: собирает сведения об ОС и установленных обновлениях, запущенных процессах, программах, пользователях и группах, сетевых настройках и соединениях. Эти данные позволяют оператору изучить зараженный компьютер и его сетевое окружение, чтобы подготовить дальнейшие действия.

Перед сбором сценарий пытается очистить файловые кэши Office и IE, что может удалить сохранившиеся там следы доставки. Результаты системных команд временно записываются в %TEMP%\temp.txt. Затем сценарий читает этот файл, удаляет его и отправляет собранные сведения на тот же сервер.

Где искать следы

• В сетевой телеметрии: обращения Word/WebClient к cloudpostmail.net, включая WebDAV-методы OPTIONS, PROPFIND и LOCK.

• На конечных устройствах: указанный путь microsoft_update.js, задачу MicrosoftEdgeUpdateTaskMachineWorker, запуски mshta.exe с внешним URL.

• В сетевой активности бэкдора: POST и GET к supportxml.org/xcbuvhjg/WkbE.

Как снизить риск

Установите обновления безопасности Windows за февраль 2026 года или более поздние. Дополнительно стоит проверить перечисленные артефакты и сетевые обращения: установка обновлений не удаляет уже установленный бэкдор.

DOCX: 3e3e4ab49ef879ecdd424f24b5638666deb79b767d140a00cf47b58a6ad479aa 
RTF: 4d6a6e9c4a94f479b0670120aaa1d0cbb1090e9e0f48b60b2489e7be55815fda 
UKuFuXj.lNk: 7154b729333ec22e401b7529fe2c75dd712c03c673f89ff182a5bf36a0f972e0 
eNlJ.d — DLL: b7fdf63523250503c93b6c59f6cacfea72c61732f45ff9e2d544789005509f66 
crmASA — HTA: 06e9dbe71016f2e447b3106b50afc6646dcc81f365b69b74fef1f3aac79f5610 
IiVe — бэкдор в Base64: 07efc69553cccbab7c06e2d362315abaffa045ff8904304a14a0c984ddabdfc7
microsoft_update.js — декодированный бэкдор: f3d9ffcbb8378c71a102ad951ddcba08f42acdceddb9d4cf0205671141671571 
WkbE — дополнительный сценарий в Base64: f695ed881d71c0103eabc7073c2d81116722c08a83fb27582010a33eeb4a93eb 

Денис Казаков

Cпециалист группы киберразведки TI‑департамента, Positive Technologies

(Источник: https://t.me/ptescalator)