Microsoft anunció la semana pasada que deshabilitará temporalmente el controlador de protocolo MSIX ms-appinstaller en Windows luego de la evidencia de que los actores de amenazas explotaron una vulnerabilidad de seguridad en el componente del instalador para entregar malware como Emotet, TrickBot y Bazaloader.

MSIX

MSIX es un formato de paquete de aplicaciones de Windows que proporciona una experiencia de empaquetado moderna para todas las aplicaciones de Windows. El formato del paquete MSIX conserva la funcionalidad de los paquetes de aplicaciones existentes y/o los archivos de instalación, además de habilitar funciones nuevas y modernas de empaquetado e implementación para las aplicaciones Win32, WPF y Windows Forms.

MSIX permite a las empresas mantenerse actualizadas y garantizar que sus aplicaciones estén siempre actualizadas. Permite a los profesionales de TI y a los desarrolladores ofrecer una solución centrada en el usuario y al mismo tiempo reducir el costo de propiedad de la aplicación al reducir la necesidad de volver a empaquetar. 

Vulnerabilidad  en MSIX

MSIX , basado en una combinación de tecnologías de instalación .msi, .appx, App-V y ClickOnce, es un formato de paquete de aplicaciones de Windows universal que permite a los desarrolladores distribuir sus aplicaciones para el sistema operativo de escritorio y otras plataformas . ms-appinstaller, específicamente, está diseñado para ayudar a los usuarios a instalar una aplicación de Windows simplemente haciendo clic en un enlace en un sitio web.

Pero una vulnerabilidad de suplantación descubierta en Windows App Installer ( CVE-2021-43890 , puntuación CVSS: 7.1) significaba que podía ser engañado para instalar una aplicación no autorizada que el usuario nunca tuvo la intención de instalar a través de un archivo adjunto malicioso utilizado en campañas de phishing.

Aunque Microsoft lanzó parches iniciales para abordar esta falla como parte de sus actualizaciones del martes de parches de diciembre de 2021 , la compañía ahora ha deshabilitado el esquema ms-appinstaller mientras trabaja para tapar completamente el agujero de seguridad y evitar una mayor explotación.

«Esto significa que App Installer no podrá instalar una aplicación directamente desde un servidor web», dijo Dian Hartono . «En cambio, los usuarios primero deberán descargar la aplicación en su dispositivo y luego instalar el paquete con el instalador de la aplicación. Esto puede aumentar el tamaño de descarga de algunos paquetes».

Con Microsoft retirando el soporte para el protocolo, la compañía también recomienda a los desarrolladores que actualicen los enlaces de descarga de aplicaciones en sus sitios web eliminando los esquemas «ms-appinstaller:?source=» para que se pueda descargar el paquete MSIX o el archivo .appinstaller.

Instalación aplicaciones  Windows 10  desde una página web

El esquema ms-appinstaller(protocol) se ha deshabilitado. Esto significa Instalador de aplicación no podrá instalar una aplicación directamente desde un servidor web y tendrá que descargarse primero. Actualice el vínculo en su sitio web quitando 'ms-appinstaller:?source=' para que se descargue el paquete MSIX o el archivo .appinstaller. Esto puede aumentar el tamaño de descarga de algunos paquetes. A continuación, el usuario puede instalar el paquete Instalador de aplicación.

Fuentes:

https://techcommunity.microsoft.com/t5/windows-it-pro-blog/disabling-the-msix-ms-appinstaller-protocol-handler/ba-p/3119479

https://thehackernews.com/2022/02/microsoft-temporarily-disables-msix-app.html