關(guān)鍵詞

APT28、MSHTML零日漏洞、CVE-2026-21513，F(xiàn)ancy Bear，地緣政治網(wǎng)絡(luò)戰(zhàn)

2026年3月，全球網(wǎng)絡(luò)安全界拉響紅色警報(bào)。俄羅斯頂級(jí)APT組織APT28（又名Fancy Bear，隸屬于俄聯(lián)邦軍事情報(bào)總局GRU）近期再度活躍，利用一個(gè)高危MSHTML零日漏洞，對(duì)烏克蘭及東歐地區(qū)的政府、軍事，外交核心機(jī)構(gòu)發(fā)起大規(guī)模定向攻擊。

這個(gè)漏洞有多恐怖？

• CVSS評(píng)分高達(dá) 8.8 （高危）

• 影響 所有Windows版本

• 攻擊者只需誘導(dǎo)用戶 點(diǎn)擊一次 ，就能完全控制目標(biāo)系統(tǒng)

• 甚至能綁過(guò)Windows兩大核心防護(hù)機(jī)制： MotW + IE ESC

CVE-2026-21513 核心參數(shù)

漏洞編號(hào)

CVE-2026-21513

漏洞類型

安全功能繞過(guò)（CWE-693）

CVSS評(píng)分

8.8（高危）

影響范圍

Windows 10/11/Server 2016-2022

攻擊前提

僅需用戶點(diǎn)擊一次

攻擊原理

MSHTML是微軟的HTML渲染引擎，雖然IE已經(jīng)退役，但Office文檔、WebBrowser控件、第三方應(yīng)用仍在廣泛使用。

漏洞的本質(zhì)是：攻擊者通過(guò)構(gòu)造特殊的HTML代碼，可以篡改DOM上下文來(lái)源標(biāo)識(shí)，讓系統(tǒng)把「來(lái)自互聯(lián)網(wǎng)的惡意內(nèi)容」誤認(rèn)為「本地可信內(nèi)容」。

APT28攻擊流水線

1. 釣魚投遞

   ：發(fā)送偽裝的釣魚郵件，附件是.lnk快捷方式文件，圖標(biāo)做成Word/Excel樣子

2. 觸發(fā)漏洞

   ：用戶點(diǎn)擊lnk文件 → 調(diào)用瀏覽器 → 打開(kāi)內(nèi)嵌HTML → 觸發(fā)漏洞

3. 綁過(guò)防御

   ：利用 多層iframe嵌套 ，同時(shí)綁過(guò)MotW和IE ESC

4. 代碼執(zhí)行

   ：調(diào)用ShellExecuteExW函數(shù)，跳出瀏覽器沙箱執(zhí)行任意代碼

5. 投放后門

   ：MiniDoor 郵件竊取器、Covenant 后門程序

6. 持久化

   ：修改注冊(cè)表、創(chuàng)建計(jì)劃任務(wù)——就算電腦重啟，攻擊者依然能遠(yuǎn)程控制

影響評(píng)估

漏洞首次發(fā)現(xiàn)

2026年1月30日

微軟發(fā)布補(bǔ)丁

2026年2月10日

零日窗口期

約11天

主要目標(biāo)

烏克蘭及東歐政府/軍事機(jī)構(gòu)

關(guān)聯(lián)C2域名

wellnesscaremed[.]com等

防御建議

• 立即打補(bǔ)丁

  ：微軟官方鏈接 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21513

• 臨時(shí)緩解

  ：禁止lnk文件自動(dòng)執(zhí)行 + 禁用Office中WebBrowser控件 + 強(qiáng)化郵件網(wǎng)關(guān)過(guò)濾

• 終端監(jiān)控

  ：重點(diǎn)監(jiān)控mshtml.dll異常 + 監(jiān)控ShellExecuteExW調(diào)用 + 關(guān)注不明計(jì)劃任務(wù)

IoC 指標(biāo)

樣本特征：

• 文件名：document.doc.LnK.download、會(huì)議紀(jì)要.lnk

• 哈希：SHA256: 7a9f3d8e7c2b1a0d...

網(wǎng)絡(luò)特征：

• C2域名：wellnesscaremed[.]com、healthcarewell[.]com

• 流量特征：?id=apt28&type=exec