CVE-2026-21513 применяют в атаках на организации, и начинается всё с DOCX-документа, который оформлен как служебный приказ с номером и датой. Сам документ почти пуст: он служит только пропуском к следующему этапу, где на машине закрепляется бэкдор на JScript. Дальше он принимает команды управляющего сервера и исполняет их, так что удаление исходного файла уже ничего не решает.
Описание
Полезной работы в документе нет: он держит ссылку на внешний ресурс, к которому Word обращается при обработке внешнего фрейма. В ответ приходит файл с расширением DOC, хотя по содержимому это RTF, то есть документ совсем другого формата, чем заявлено. Расхождение расширения и реального формата остаётся первым признаком, который отличает такое вложение от обычной переписки.
Внутри RTF размещены два OLE-объекта, и оба ссылаются на один и тот же удалённый ярлык. По данным Positive Technologies, один из адресов ведёт к серверу доставки по WebDAV поверх HTTPS. Зачем понадобились два объекта, в публикации не объясняется, но сетевые обращения начинаются ещё до того, как на диске появится основной файл.
Разбором такого адреса занимается служба WebClient - компонент Windows, который отвечает за доступ к ресурсам по WebDAV. В сетевой телеметрии обращения к серверу доставки выглядят как методы OPTIONS, PROPFIND и LOCK, а не как обычная загрузка файла. Для средств защиты это отдельный признак, и в работе офисной машины он встречается редко.
Следующий этап - DLL и компонент HTA, то есть приложение в формате HTML, которое Windows запускает как обычную программу через mshta.exe с сетевого адреса. Рядом закрепляется задача планировщика с именем, повторяющим название компонента обновления Edge, и маскировка под штатное обновление работает. При беглом просмотре списка задач она не выглядит чужой.
Полезная нагрузка - бэкдор на JScript, то есть скрипт, который исполняется в системе и ждёт команд с сервера. Один из этапов передавался в кодировке Base64, в виде текстовой строки, и декодировался в файл на диске. Второй сценарий хранился отдельно и тоже был закодирован; команды бэкдор получал с управляющего сервера методами POST и GET.
Обновления безопасности Windows за февраль 2026 года и более поздние закрывают уязвимость, но уже работающий бэкдор они не удаляют. Индикаторы для всех этапов цепочки, включая хеши файлов и адреса серверов, авторы публикации приводят отдельно. Сколько организаций затронуто, как доставляли документ-приманку и когда зафиксированы первые попытки, в публикации не указано.
Отдельная особенность атаки - использование штатных механизмов Word и WebDAV: документ обращается к внешнему фрейму, а служба WebClient обрабатывает путь к ярлыку. Поэтому защиты только на уровне вложений недостаточно: нужно контролировать исходящие WebDAV-запросы и запуск mshta.exe. Индикаторы из отчёта можно использовать для ретроспективного поиска в логах прокси, DNS и EDR, чтобы найти машины, где цепочка уже сработала. Патч закрывает уязвимость, но не удаляет уже установленный бэкдор, поэтому проверку нужно проводить даже на пропатченных системах.
Индикаторы компрометации
