האם יש משהו שאתה יכול לעשות בקשר לפולינה?

פגיעות של Microsoft Office Zero-Day נוצלה לרעה להפעלת PowerShell

ב-27 במאי 2022, באג של ביצוע קוד מרחוק של יום אפס ב-Microsoft Office התגלה על ידי Nao_Sec (1) וכונה "Follina" על ידי החוקר קווין ביומונט. פגיעות זו מאפשרת לאדם לא מאומת לקבל גישה מתמשכת ולהשתלט על מערכת יעד מרחוק על ידי ניצול קבצי Microsoft Office שהורדו. האקרים יכולים להשתמש בה כדי לבצע פקודות PowerShell זדוניות באמצעות כלי האבחון של Microsoft (MSDT) גם אם פקודות מאקרו של Office מושבתות.

"המסמך משתמש בתכונת התבנית המרוחקת של Word כדי לאחזר קובץ HTML משרת אינטרנט מרוחק, אשר בתורו משתמש בסכימת ה-URI של MSProtocol ms-msdt כדי לטעון קוד מסוים ולהפעיל PowerShell מסוים", הסביר החוקר קווין ביומונט. "זה לא אמור להיות אפשרי." (2)

ב-30 במאי 2022, מיקרוסופט פרסמה את CVE-2022-30190 . גרסאות 2013, 2016, 2019 ו-2021 של מיקרוסופט אופיס, כמו גם מהדורות Professional Plus, מושפעות. עם זאת, אין תיקון זמין נכון ל-1 ביוני 2022.

בפוסט בבלוג זה, ננתח את דוגמת התוכנה הזדונית ונראה לכם כיצד להתגונן מפני ההתקפות.

סקירה כללית של המתקפה תוך שימוש לרעה ב-CVE-2022-30190

על ידי ניתוח המדגם, מצאנו שגישת ההתקפה אינה חדשה. מחבר האיום השתמש בווקטור התקפה דומה לזה של הקמפיין שניצל את CVE-2021-40444 בספטמבר 2021. שתי ההתקפות השתמשו בקישור חיצוני בקובץ קישור שהוביל לקובץ HTML זדוני.

באמצעות פישינג או הנדסה חברתית, פושעי הסייבר סיפקו קובץ Microsoft Word (.docx) מכוסה בנשק לקורבנות היעד ורימו אותם לפתוח אותו. הקובץ מכיל כתובת URL חיצונית המפנה ל-HTML, הכוללת קוד JavaScript יוצא דופן.

קוד ה-JavaScript הזה מפנה לכתובת URL עם הסכימה ms-msdt: שיכולה לבצע קוד מרוחק. 

כיצד למנוע את ההתקפה

ב-30 במאי 2022, פרסמה מיקרוסופט הנחיות בנוגע לפתרונות עוקפים לתמיכה במשתמשים המתמודדים עם הפגיעות שנחשפה לאחרונה (3). נכון לעכשיו, השבתת פרוטוקול ה-URL של MSDT נראית כאפשרות הקלה ביותר. עם זאת, עדיין לא ברור מה תהיה ההשפעה של השבתת פרוטוקול ה-URL של MSDT.

עם זאת, אם אתם משתמשים ב- OPSWAT MetaDefender עם טכנולוגיית Deep CDR (Content Disarm and Reconstruction) המובילה בתעשייה שלנו, אינכם צריכים לדאוג לכל הדברים הללו. הרשת והמשתמשים שלכם מוגנים מפני התקפות מכיוון שכל התוכן הפעיל המוסתר בקבצים המזיקים מושבת על ידי... Deep CDR לפני שהגיעו למשתמשים שלכם.

להלן, נדגים כיצד Deep CDR מטפל בקובץ הזדוני ויוצר קובץ בטוח לצריכה עבור המשתמשים שלך, בין אם הוא הועלה ליישום האינטרנט שלך או התקבל כקובץ מצורף לדוא"ל.

נטרול קובץ Microsoft Word הרעיל

ברגע שקובץ ה-.docx עם כתובת URL זדונית נכנס לרשת הארגון שלך באמצעות מיילים, העלאות קבצים וכו', MetaDefender סורק אותו באמצעות מספר מנועי אנטי-וירוס באמצעות OPSWAT Metascan ובוחן את הקובץ לאיתור איומים פוטנציאליים, כגון אובייקטי OLE, היפר-קישורים, סקריפטים וכו'. לאחר מכן, כל האיומים המוטמעים מוסרים או עוברים ניקוי רקורסיבי בהתאם ל Deep CDR תצורות. כפי שמוצג בתוצאת עיבוד הקבצים שלנו, אובייקט OLE הוסר ותוכן ה-XML עבר ניקוי.

לאחר התהליך, מסמך ה-.docx כבר לא מכיל את קישור ה-HTML הזדוני, שכן הוא הוחלף בקישור "ריק". כתוצאה מכך, גם אם המשתמשים הפנימיים שלך פותחים את הקובץ, לא נטענת ולא מופעלת תוכנה זדונית.

סריקת הקובץ שניקה שוחרר לאחר התהליך עם שניהם OPSWAT מטאסקאן ו MetaDefender Sandbox , אנו יכולים לראות שהמסמך נטול סיכונים.

בטל את ה-JavaScript של קובץ ה-HTML

במקרה שתגדיר Deep CDR למנוע לקבל כתובות URL בקבצים, אתה עדיין מוגן לחלוטין. Deep CDR מסיר את קוד ה-JavaScript הזדוני מקובץ ה-HTML שנטען מכיוון שהוא נחשב כאיום פוטנציאלי. ללא ה-JavaScript, לא ניתן להוריד ולהפעיל את קוד PowerShell. המשתמשים שלך יכולים לפתוח ולהשתמש בקובץ המשוחזר נטול האיומים בשמישות מלאה.

אל תסמכו על גילוי

שיטת ניצול חדשה זו קשה לזיהוי מכיוון שהתוכנה הזדונית נטענת מתבנית מרוחקת, כך שקובץ ה-.docx יכול לעקוף את הגנת הרשת מכיוון שהוא אינו מכיל קוד זדוני (2). באופן דומה, פושעי סייבר ממשיכים לנצל באופן פעיל פגיעויות ולנצל לרעה וקטורי תקיפה שונים תוך מינוף תוכניות ותכונות של Microsoft Office כמו פקודות מאקרו, קישורים חיצוניים, אובייקטי OLE וכן הלאה כדי להעביר או להפעיל תוכנות זדוניות. עבור יישום אפס אמון אמיתי, לא ניתן להסתמך על מודל אבטחה של זיהוי-להגנה כדי למנוע התקפות יום אפס. ארגונים זקוקים לפתרון מקיף למניעת איומים כדי להגן עליהם מפני תוכנות זדוניות ידועות ולא ידועות כאחד.

Deep CDR הוא פתרון חדשני ויעיל להביס תוכנות זדוניות מתקדמות ומתקפות אפס-יום. הוא עוצר את ההתקפות בשלב המוקדם ביותר על ידי נטרול כל הרכיבים החשודים הניתנים להרצה, ובמקביל, מספק קבצים בטוחים לחלוטין ללא איומים.

למידע נוסף על טכנולוגיית Deep CDR . כדי לראות כיצד נוכל לעזור לספק הגנה מקיפה לארגון שלך מפני מסמכים חמושים, דברו עם מומחה OPSWAT עכשיו .

הַפנָיָה

[1] https://twitter.com/nao_sec/status/1530196847679401984

[2] https://medium.com/m/global-identity?redirectUrl=https%3A%2F%2Fdoublepulsar.com%2Ffollina-a-microsoft-office-code-execution-vulnerability-1a47fce5629e

[3] https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/