Si te sale esta pantalla al abrir un Word, cuidado. Una nueva fórmula de ejecutar código en documentos Office con tres características preocupantes: Sin necesidad de macros. Sin necesidad de adjuntar el documento al email o de que el documento sea malicioso de por sí.

CVE-2022-30190

• Nuevo día cero de Microsoft Office utilizado en ataques para ejecutar PowerShell También afecta a Windows en general mediante MSDT
  

Investigadores de seguridad han descubierto una nueva vulnerabilidad de día cero de Microsoft Office que actualmente se explota en ataques de phishing para instalar malware en dispositivos simplemente abriendo un documento de Word.

• El nuevo error utiliza la herramienta de diagnóstico de Microsoft (MSDT) para ejecutar binarios o scripts casi sin activar ninguna alarma.

Con los documentos RTF, se puede explotar con solo seleccionarlo, y el código malicioso se ejecuta a través de la acción de vista previa del Explorador.


Este es un problema grave que puede explotarse desde una cuenta con privilegios más bajos, evade Windows Defender y no necesita que las macros estén habilitadas en las herramientas de Microsoft Office.

Los investigadores se refieren a esta vulnerabilidad de día cero como Follina, por ahora, ya que aún no se ha asignado una ID de CVE. El error fue descubierta por @nao_sec mientras revisa Virus Total en busca de archivos usando CVE-2021-40444. Encontraron un documento de Word malicioso que abusaba del esquema ms-msdt, enviado desde una IP en Bielorrusia.

El maldoc cargó el código HTML remoto y luego usó ms-msdt para ejecutar el código de PowerShell.

Múltiples investigadores replicaron el error en varias versiones de MS Office:

• Office 2013
• Office 2016
• Office Pro Plus desde abril (en Windows 11 con actualizaciones de mayo)
• Office 2021 parcheado

Si bien la característica Vista protegida en Office emite una alerta para documentos potencialmente maliciosos, la advertencia puede pasar desapercibida o ser ignorada fácilmente por los usuarios.

Con un archivo RTF, el error entrega la carga útil sin abrir el documento.

Parece que Microsoft recibió un informe sobre la llamada vulnerabilidad de Follina en abril, pero la empresa lo clasificó como un problema que no es de seguridad y lo cerró.

Se ha detectado una nueva fórmula para ejecutar código en documentos Office con tres características preocupantes:

• Sin necesidad de macros maliciosas. La detección es muy baja, incluso por parte de Defender como EDR.
•  Sin necesidad de adjuntar el documento al email.
• Y sin que el documento en sí tenga nada malicioso por sí mismo, sino que descarga la carga al vuelo.

URI Protocolo ms-msdt y search-ms

La vulnerabilidad de ejecución remota de código cuando se llama a MSDT  (Microsoft Windows Support Diagnostic Tool)  mediante el protocolo URL desde una aplicación de llamada como Word. El atacante puede ejecutar código arbitrario con los privilegios de la aplicación que realiza la llamada.
 

El problema es que el protocolo MS-MSDT afecta a Windows en general, y no sólo a Office.

Por eso es muy recomendable ejecutar el comando para modificar el registro de Windows:

reg delete HKEY_CLASSES_ROOT\ms-msdt /f

En resumen, lo que se ha visto que están aprovechando atacantes es un Word que se trae un HTML de un servidor (ahí está la carga) que a su vez utiliza el protocolo MS-MSDT (Microsoft Diagnostic Troubleshooting ) para cargar código (en este caso PowerShell).

A esto añadimos más problemas:

• Aunque todavía no está claro, afecta a la mayoría de Office y O365.
• Si en vez de un formato DOCX, el atacante lo convierte a RTF, la ejecución se lanza sin que la vista protegida lo detenga (sin darle al botón “habilitar contenido”).
• Enviando un email que use el protocolo “ms-excel” y apunte a un xls malicioso colgado en algún punto, bastaría para que Outlook lo abriese con Excel al pinchar sobre él. Además de no ir adjunto de por sí, al no comenzar el protocolo por http, es posible que pase desapercibido para las pasarelas de seguridad del correo.

Todavía no está claro el alcance ni Microsoft se ha pronunciado, pero al haberse hecho público surgirán variantes a tener en cuenta. A este fallo se le ha llamado “Follina” por una referencia a un código postal en el ataque.

El investigador Nao_sec identificó un documento de Word de aspecto extraño in-the-wild, descargado desde una dirección IP en Bielorrusia.

No está del todo claro pero este sería un Zero-Day que permite la ejecución de código en los productos de Office sin la utilización de macros. Históricamente, cuando hay formas fáciles de ejecutar código directamente desde Office, enseguida se comienza a utilizar para infectar sistemas. Además este descubrimiento rompe el límite de tener macros deshabilitadas y la detección de proveedores es deficiente.

El investigador llamó "Follina" al descubrimiento porque la muestra del archivo hace referencia a 0438, que es el código postal de Follina en Italia.

El documento usa la función de plantilla remota de Word para recuperar un archivo HTML de un servidor web, que a su vez usa el esquema de URI "ms-msdt" para cargar código y ejecutar PowerShell. 

Este comportamiento no debería ser posible pero ese código hace esto, cuando se decodifica:

Están sucediendo muchas cosas aquí, pero el primer problema es que Microsoft Word está ejecutando el código a través de "msdt" (una herramienta de soporte) incluso si las macros están deshabilitadas. La Vista protegida se activa, aunque si se cambia el documento a formato RTF, se ejecuta sin siquiera abrir el documento (a través de la pestaña de vista previa en el Explorador), y mucho menos la Vista protegida.

Hace más de un mes, se subió a VirusTotal otro archivo con el tema "invitación para una entrevista" dirigido a Sputnik Radio y a un usuario en Rusia. Este documento explota directamente la vulnerabilidad de Follina y se informó a Microsoft, quien decidió que no era un problema de seguridad.  

De acuerdo al investigador, ha probado esto en varios equipos y funciona correctamente en Windows 10/11, sin permisos de administrador y con macros completamente deshabilitadas; con Defender habilitado y en Office 365, permitiendo ejecutar la calc.exe al abrir un documento de Word.

Didler Stevens demuestra que el exploit funciona en una versión parcheada de Microsoft Office 2021 y se ha creado una PoC no maliciosa (otra) y un script en Python para probar el funcionamiento del exploit. 

¿Cómo podría evolucionar esto?

Hay diferentes formas de activarlo de forma remota y Microsoft necesitará parchearlo en todas las diferentes ofertas de productos, y los proveedores de seguridad necesitarán detección y bloqueo sólidos. Microsoft probablemente apuntará hacia la protección de la "vista protegida" que, de forma predeterminada aplica a todas las macros.

Además, se podría usar esquemas de URI de protocolo MS en correos electrónicos de Outlook o cualquiera de estos para abusar de los esquemas de conexión de MS Office.

Get-Item Registry::HKEY_CLASSES_ROOT\ms-* | Out-String | select-string -Pattern "URL" -SimpleMatch

Es probable que la detección por parte de Microsoft y los antivirus no sea eficiente al principio, ya que Office carga el código malicioso desde una plantilla remota (servidor web), por lo que nada en el documento de Word/Excel es realmente malicioso. 

Mitigaciones

Huntress ha publicado un documento técnico con explicaciones adicional. Si se utiliza las reglas de reducción de la superficie de ataque (ASR) de Microsoft Defender, la activación de la regla ""Bloquear todas las aplicaciones de Office para que no creen procesos secundarios (Block all Office applications from creating child processes) (4F940AB-401B-4EFC-AADC-AD5F3C50688A)" en el modo de "bloqueo", evitará que se explote esta vulnerabilidad.

Actualmente se pueden personalizar 16 reglas de reducción de superficie de ataque. Especificamente aplicar ASR con la regla mencionada bloquea los procesos secundarios/hijos en Word. En el blog BlogThinkBig hay más información sobre estas reglas y su funcionamiento pero básicamente se puede habilitar la regla (con Windows Defender encendido) con el siguiente comando:

Add-MpPreference -AttackSurfaceReductionRules_Ids d4f940ab-401b-4efc-aadc-ad5f3c50688a 
    -AttackSurfaceReductionRules_Actions Warn | Enable

Ya se ha creado una regla para la detección (Yara).

Otra opción es eliminar la asociación de tipo de archivo para ms-msdt: se puede modificar en el Registro de Windows HKCR:\ms-msdt o con el fragmento de PowerShell de Kelvin Tegelaar. Cuando se abre el documento malicioso, Office no podrá invocar ms-msdt, lo que evitará que se ejecute el malware. 

La opción de eliminar la asociación de tipo de archivo para ms-msdt: se puede modificar en el Registro de Windows HKCR:\ms-msdt

reg delete HKEY_CLASSES_ROOT\ms-msdt /f

Y eliminar también vector de ataque mediante search-ms

reg delete HKEY_CLASSES_ROOT\search-ms /f 

Una forma sencilla de evitar los ataques actuales es renombrar (o eliminar) la siguiente clave de registro: "HKEY_CLASSES_ROOT\ms-msdt"

De esta forma, cuando se abre el documento malicioso, Office no podrá invocar ms-msdt, lo que evitará que se ejecute el malware.
 

O deshabilitar mediante GPO

reg add “HKLM\SOFTWARE\Policies\Microsoft\Windows\ScriptedDiagnostics” /t REG_DWORD /v EnableDiagnostics /d 0

$ENV:ActivateWorkaround = "Yes"
if($ENV:ActivateWorkaround -eq "Yes") {
    New-PSDrive -PSProvider registry -Root HKEY_CLASSES_ROOT -Name HKCR
    Set-Item -Path "HKCR:\ms-msdt" -Value "URL:ms-msdt_bak"
} else {
    New-PSDrive -PSProvider registry -Root HKEY_CLASSES_ROOT -Name HKCR
    Set-Item -Path "HKCR:\ms-msdt" -Value "URL:ms-msdt"
}

Registro Windows

Como hemos dicho anteriormente una forma sencilla de evitar los ataques actuales es renombrar (o eliminar) la clave de registro "HKEY_CLASSES_ROOT\ms-msdt".

Deshabilitar "Asistentes para la solución de problemas" (troubleshooting Wizards)

HKLM\SOFTWARE\Policies\Microsoft\Windows\ScriptedDiagnostics - EnableDiagnostics - 0

https://admx.help/?Category=Windows_10_2016&Policy=Microsoft.Policies.ScriptedDiagnostics::ScriptedDiagnosticsExecutionPolicy 

Fuentes:

DoublePulsar

https://blog.segu-info.com.ar/2022/05/follina-zero-day-en-office-sin-macros.html

https://t.me/cybersecuritypulse/348 

https://twitter.com/ssantosv/status/1531222773531652098

https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/