Experţii Kaspersky prevăd un număr tot mai mare de atacuri folosind vulnerabilitatea Follina MS Office

Cercetătorii Kaspersky au descoperit o nouă vulnerabilitate de tip zero-day în Microsoft Office, numită Follina. Aceasta le permite infractorilor cibernetici să execute de la distanţă cod rău intenţionat pe sistemele victimelor lor, exploatând o vulnerabilitate din MSDT (Microsoft Diagnostics Tool) prin documente text compromise. Vulnerabilitatea zero-day nu a fost corectată, prin urmare cercetătorii Kaspersky au anticipat un număr tot mai mare de atacuri folosind vulnerabilitatea Follina.

Atacatorul se infiltrează în reţeaua victimei prin distribuirea unui document Microsoft Word (.docx) sau Rich Text Format (.rtf) special conceput, care conţine un link către un ataşament HTML rău intenţionat. În acelaşi timp, la deschidere, documentul pregătit de un atacator lansează MSDT, un instrument de depanare Windows, care în mod normal colectează informaţii şi raportează departamentului support de la Microsoft. Linia de comandă furnizată către MSDT prin adresa URL distribuită determină apoi rularea codului periculos.

Acesta permite atacatorului să distribuie şi să instaleze programe rău intenţionate pe computerul unei victime (inclusiv controllere de domeniu vulnerabile), precum şi să fure datele stocate şi să creeze conturi noi cu drepturi de utilizare complete. Una peste alta, atacatorul ar putea transmite orice comandă care urmează să fie executată pe sistemul victimei, cu privilegiile utilizatorului care a deschis documentul text. Mai mult, comanda poate fi livrată către sistemul vizat chiar dacă victima a deschis documentul în modul protejat, ba chiar dacă nici măcar nu a deschis deloc documentul.

În total, de la începutul lunii mai 2022 până pe 3 iunie, produsele Kaspersky au detectat peste 1000 de încercări de a exploata vulnerabilitatea nou descoperită. Aproximativ 40% dintre aceste încercări au fost înregistrate în SUA, urmate de Vietnam (8,3%) şi Pakistan (8,2%). În acelaşi timp, situaţia este diferită dacă aruncăm o privire pe lista ţărilor clasate după cei mai mulţi utilizatori unici afectaţi: Pakistanul este lider cu aproape 45% dintre utilizatorii afectaţi, urmat de Rusia (6,5%) şi SUA (4,32%). De remarcat, acestea sunt înregistrări specifice noii vulnerabilităţi Follina, descoperite recent, dar încercările de exploatare pot fi detectate şi de alte verdicte.

Produsele Kaspersky protejează împotriva atacurilor care folosesc această vulnerabilitate şi detectează implantul rău intenţionat ca:

PDM:Exploit.Win32.Generic

HEUR:Exploit.MSOffice.Agent.n

HEUR:Exploit.MSOffice.Agent.gen

HEUR:Exploit.MSOffice.CVE-2017-0199.a

HEUR:Exploit.MSOffice.CVE-2021-40444.a

HEUR:Exploit.MSOffice.Generic

Pentru a rămâne protejaţi, experţii Kaspersky vă sfătuiesc, de asemenea, să urmaţi recomandările Microsoft: Ghidul CVE-2022-30190 Microsoft Support Diagnostic Tool Vulnerability. Mai exact, pentru a preveni exploatarea acestei vulnerabilităţi, puteţi dezactiva suportul pentru adresa URL a protocolului MSDT urmând aceşti paşi:

Rulaţi Command Prompt ca Administrator.

Pentru a face backup cheilor de înregistrare modificate, executaţi comanda "reg export HKEY_CLASSES_ROOTms-msdt filename"

Rulaţi comanda de dezactivare a suportului pentru adrese URL MDST "reg delete HKEY_CLASSES_ROOTms-msdt /f"