Microsoft Office zero-day “Follina”
Los investigadores de seguridad cibernética volcaron su atención sobre una falla de día cero (0-day) en Microsoft Office que podría explotarse para lograr la ejecución de código arbitrario en los sistemas Windows afectados.
La vulnerabilidad salió a la luz después de que un equipo de investigación de ciberseguridad independiente conocido como nao_sec descubriera un documento de Word (“05-2022-0438.doc”) que se cargó en VirusTotal desde una dirección IP en Bielorrusia.
“Utiliza el enlace externo de Word para cargar el HTML y luego usa el esquema ‘ms-msdt’ para ejecutar el código de PowerShell“, señalaron los investigadores en una serie de tuits la semana pasada.
Según el investigador de seguridad Kevin Beaumont, quien denominó la falla “Follina”, el maldoc aprovecha la función de plantilla remota de Word para obtener un archivo HTML de un servidor, que luego utiliza el esquema URI “ms-msdt://” para ejecutar el payload malicioso.
La deficiencia se ha llamado así porque la muestra maliciosa hace referencia a 0438, que es el código de área de Follina, un municipio de la ciudad italiana de Treviso.
MSDT es la abreviatura de Microsoft Support Diagnostics Tool, una utilidad que se usa para solucionar problemas y recopilar datos de diagnóstico para que los profesionales de soporte los analicen para resolver un problema.
Interesting maldoc was submitted from Belarus. It uses Word's external link to load the HTML and then uses the "ms-msdt" scheme to execute PowerShell code.https://t.co/hTdAfHOUx3 pic.twitter.com/rVSb02ZTwt
— nao_sec (@nao_sec) May 27, 2022
Versiones afectadas
En circunstancias normales, los archivos de ubicaciones potencialmente inseguras se abren como de solo lectura o en Vista protegida. Sin embargo, esta advertencia se puede omitir fácilmente cambiando el documento a un archivo de formato de texto enriquecido (RTF). Al hacerlo, el código puede ejecutarse sin siquiera abrir el documento a través de la pestaña de vista previa en Explorer.
Si bien la investigación está en curso y la comunidad de seguridad de la información está probando y sondeando, estamos recibiendo algunas señales contradictorias sobre si la última versión de Office 365, completamente parcheada, es vulnerable a este tipo de ataque o no. Las versiones anteriores son ciertamente vulnerables, lo que ya lo convierte en un problema con una gran superficie de ataque.
El investigador Kevin Beaumont proporciona el ejemplo en el que un atacante puede enviar un correo electrónico con este texto como hipervínculo:
ms-excel:ofv|u|https://blah.com/poc.xls
Y Outlook permitirá al usuario hacer clic en el hipervínculo y abrir el documento de Excel. Debido a que el documento no está adjunto al correo electrónico y la URI no comienza con http o https, la mayoría de las puertas de enlace de correo electrónico dejarán que se deslice directamente ya que nada parece malicioso.
Como se dijo anteriormente, incluso mirar un archivo especialmente diseñado en el panel de vista previa del Explorador de Windows podría desencadenar el ataque. Microsoft ha sido informado de los problemas y las posibles consecuencias. Si bien su primera reacción fue que no había ningún problema de seguridad, parece que esto debe solucionarse.
Mitigación
Hay algunas cosas que puede hacer para detener algunas o todas las “características” utilizadas en este tipo de ataque.
Anular el registro del protocolo ms-msdt
Will Dormann, un analista de vulnerabilidades del CERT/CC, ha publicado una solución de registro que eliminará el registro del protocolo ms-msdt.
Copie y pegue el texto en un documento de bloc de notas:
- Haga clic en Archivo, luego en Guardar como…
- Guárdelo en su escritorio, luego nombre el archivo disabled_ms-msdt.reg en el cuadro de nombre de archivo.
- Haga clic en Guardar y cierre el documento del bloc de notas.
- Haga doble clic en el archivo disabled_ms-msdt.reg en su escritorio.
Tenga en cuenta que si el Control de cuentas de usuario se lo solicita, seleccione Sí o Permitir para que la solución pueda continuar.
- Aparecerá un mensaje sobre cómo agregar información al registro, haga clic en Sí cuando se le solicite.
- Debería aparecer un aviso de que la información se agregó correctamente
