Продължават атаките към Follina

В началото на този месец специалисти по компютърна сигурност алармираха, че са регистрирани атаки към неизвестна досега уязвимост в Microsoft Word. Последвал анализ на една от тези атаки разкри, че уязвимостта не е в Microsoft Word или в Office, а в Microsoft Windows Support Diagnostic Tool (MSDT) – инструмент, използван за анализ и събиране на сведения за евентуални проблеми в операционната система.

По-късно самите Microsoft признаха за съществуването на проблема и издадоха ръководство за минимизиране на рисковете. Официална кръпка засега няма, но вероятно такава ще бъде издадена следващата седмица, когато се очакват да пристигнат редовните обновления за Windows за месец юни. Американската агенция за киберсигурност и инфраструктурна защита издаде и специален бюлетин по случая, призоваващ администраторите и обикновените потребители да изключат MSDT до издаване на актуализация.

CVE-2022-30190 или Follina, както по-късно беше кръстена уязвимостта, представлява неадресиран проблем в MSDT, който се активира, когато инструментът е извикан чрез URL протокола. Експлоатирането ѝ позволява изпълнението на произволен код дистанционно, преглед, триене и запис на информация, инсталирането и премахването на програми.

Изглежда, че самите атаки към CVE-2022-30190 са започнали още през април и те се увеличават. За това съобщиха в Twitter от Proofpoint. Те пишат, че са блокирали опити за атака към няколко техни клиенти, представляващи правителствени структури в САЩ и Европа. Proofpoint посочват, като доказателство и снимка на текста на едно такова писмо с прикачен зловреден .RTF файл. Той съдържа Powershell скрипт, който при откриване на документа се изпълнява и сваля допълнителен Powershell скрипт, който профилира системата и проверява дали не се изпълнява във виртуална среда, след което изпълнява заложените му функции. Те са богати и както може да се предположи са насочени към кражбата на данни от множество приложения – браузъри, като Chrome, Safari, Firefox, Edge, Opera, Yandex и др., както и услуги и продукти от различен тип – Mozilla Thunderbird, Filezilla, ToDesk, WeChat, Radmin, Putty, Microsoft Office.