Aktualizacja 16 czerwca 2022: 14 czerwca 2022 firma Microsoft wydała aktualizację usuwającą podatność CVE-2022-30190. BlackBerry zaleca jak najszybszą aktualizację swoich urządzeń.
Podatność zero-day kreatora rozwiązywania problemów diagnostycznych (MSTD)
Jak zapobiegać Follinie
Użytkownicy CylanceOPTICS mogą wykryć atak aktywując niestandardową regułę, którą pobiorą stąd:
https://support.blackber…
Jak uaktywnić regułę:
- Odwiedź stronę:
https://protect.cylance…… - Wybierz “Import Rule”
- Wybierz “Browse for a file or drag and drop the .json file to the window”
- Wybierz “Import”
- Wybierz “Validate”
- Wybierz “Publish”
- Następnie przypisz daną regułę do swojego urządzenia steps listed here.
W międzyczasie Microsoft zaleca wyłączenie MSDT do czasu udostępnienia łatki aby zminimalizować ryzyko wykorzystania exploita. Można to zrobić w następujący sposób:
- Uruchom wiersz poleceń jako administrator
- Utwórz kopię zapasową klucza rejestru “reg export HKEY_CLASSES_ROOT\ms-msdt filename“
- A następnie wykonaj polecenie “reg delete HKEY_CLASSES_ROOT\ms-msdt /f”Aby włączyć z powrotem MSDT należy:
- Uruchom wiersz poleceń jako administrator
- Zaimportuj wcześniej wyeksportowany plik rejestru “reg import filename,” gdzie filename to nazwa, naszego wyeksportowanego wcześniej pliku rejestru.
Benjamin Delpy (autor programu mimikatz) jako alternatywne rozwiązanie zapobiegające atakowi zaleca wyłączenie kreatora rozwiązywania problemów w edytorze zasad na serwerze. Można to zrobić w następujący sposób:
- Konfiguracja komputera -> Szablony administracyjne -> System -> Rozwiązywanie problemów i diagnostyka -> Diagnostyka inicjowana przez skrypty:
- Ustaw “Rozwiązywanie problemów: zezwalaj użytkownikom na dostęp do kreatorów rozwiązywania problemów i uruchamianie ich “Wyłączone”
Folina nie jest nową podatnością
Podatność została odkryta kilka tygodni temu przez użytkownika “crazyman”, jednak wtedy Microsoft nie uznał jej za zagrożenie. Co ciekawe, artykuł z sierpnia 2020, którego autorem jest Benjamin Altpeter przedstawia wykonanie złośliwego kodu za pomocą przeglądarki i narzędzia MSDT.
Po wykryciu przykładów złośliwego wykorzystania tej podatności pod koniec maja 2022, Microsoft zmienił zdanie i przedstawił tymczasowe obejście problemu.
Ismael Valenzuela, Wiceprezes działu badawczego dot. zagrożeń BlackBerry, przedstawia znaczenie ataków zero-day dla organizacji:
„Any type of vulnerability, or simply a built-in software feature, that allows Office documents to download and execute malware onto victim’s systems is an attacker’s favorite,” Valenzuela says. “Historically, we have seen attackers weaponizing them as part of large campaigns very quickly, and this is no exception.”
Jak podaje Ismael podatności wykorzystujące wbudowane rozwiązania, które mogą być pobierane np. przez pakiet Office są uwielbiane przez atakujących i tak też stało się w tym przypadku.
“Several ready-to-use tools leverage this attack to create exploits, according to Valenzuela, and many samples are already widely available. This is likely to create long-term cyber risk.”
Valenzuela podaje, że Follina skutecznie omija zasady bezpieczeństwa m.in. pozwala na uruchomienie makr bez konieczności ingerencji użytkownika. Nawet jeśli Microsoft wyda łatkę to i tak organizację będą ją wdrażać długo co pozwala atakującym na wykorzystywanie tej podatności jeszcze przez długi czas.
Z tej przyczyny jest to doskonały czas, by przypomnieć użytkownikom, jakie ryzyko niosą za sobą nieoczekiwane wiadomości i dokumenty w skrzynkach mailowych. Ostrożność to pierwsza linia obrony, a użytkownicy powinni mieć świadomość, że nawet otwarcie podejrzanego maila jest potencjalnym zagrożeniem dla bezpieczeństwa firmy, szczególnie, że czasem nawet proste najechanie myszką na dokument jest wystarczające, by rozpocząć atak.
Źródło: https://blogs.blackberry.com/en/2022/06/follina-zero-day-weaponizes-microsoft-help-tool
