Vulnerabilidad día cero en Microsoft Office Pro Plus, Office 2013, Office 2016 y Office 2021 permite hackear redes de forma remota y con un solo clic

Hace unos días, el investigador de seguridad conocido como “nao_sec” reportó la detección de un archivo de Word especialmente diseñado para explotar una vulnerabilidad día cero en Microsoft Office que permitiría la ejecución de código arbitrario apenas al abrir un archivo malicioso.

Este malware, cargado desde Bielorrusia a la plataforma VirusTotal, fue analizado por el experto Kevin Beaumont, quien reporta que este documento usa la función de plantilla remota de Word para recuperar un archivo HTML desde un servidor web remoto que emplea MSProtocol ms-msdt para cargar código y ejecutar código PowerShell.

Interesting maldoc was submitted from Belarus. It uses Word's external link to load the HTML and then uses the "ms-msdt" scheme to execute PowerShell code.https://t.co/hTdAfHOUx3 pic.twitter.com/rVSb02ZTwt

— nao_sec (@nao_sec) May 27, 2022

Beaumont menciona que el código se ejecuta sin importar que las macros estén deshabilitadas en el sistema objetivo, sin mencionar que Microsoft Defender no parece poder evitar el ataque: “Aunque la vista protegida se activa, si se cambia el documento a formato RTF, el código malicioso se ejecutará sin siquiera abrir el documento”.   

La falla fue bautizada como “Follina”, como guiño a que el archivo malicioso hace referencia a 0438, el código de área de un pequeño poblado italiano. El investigador, y otros miembros de la comunidad de la ciberseguridad, confirmaron que el exploit conocido permite ejecutar código remoto en algunas versiones de Windows y Office, incluyendo Office Pro Plus, Office 2013, Office 2016 y Office 2021.

If you use Defender for Endpoint on E5, here's a quick advanced hunting query I made for this — can be set as a Custom detection rule.

I'm calling this vuln Follina, a place a Italy (and also the area code of the CVE suspected to be allocated to this).https://t.co/t5CaajScrI

— Kevin Beaumont (@GossiTheDog) May 29, 2022

El exploit parece no parece funcionar en las versiones recientes de Office y en implementaciones Windows Insider, lo que podría significar que Microsoft ya está trabajando para abordar este problema. Beaumont también cree que el exploit podría funcionar en estas versiones con algunas modificaciones.

Un grupo de hacking alojó un dominio web en Namecheap para emplearlo como servidor C&C; la compañía de hosting cerró rápidamente este sitio web. La comunidad de la ciberseguridad ha propuesto algunos mecanismos de mitigación, por lo que se prevé muy poco probable una oleada de explotación activa. 

Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).

El cargo Vulnerabilidad día cero en Microsoft Office Pro Plus, Office 2013, Office 2016 y Office 2021 permite hackear redes de forma remota y con un solo clic apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente