Il settore della sicurezza informatica è in fermento a seguito della scoperta di una nuova vulnerabilità zero-day in Microsoft Office. Secondo i ricercatori, è stato osservato che tale vulnerabilità viene attivamente sfruttata in attacchi provenienti sia da criminali informatici che da gruppi APT sponsorizzati dallo Stato.
Secondo quanto riferito, la vulnerabilità è stata individuata (si apre in una nuova scheda) sul sito 27 maggio 2022 dal team di ricerca sulla sicurezza informatica Nao_sec, che ha individuato la vulnerabilità zero-day mentre esaminava un documento Word dall’aspetto insolito rinvenuto in rete e caricato da un indirizzo IP in Bielorussia. È opportuno sottolineare che Defender for Endpoint non ha Detect l’esecuzione del codice dannoso contenuto nei documenti compromessi.
Cosa sappiamo riguardo al CVE-2022-30190
Il ricercatore di sicurezza Kevin Beaumont è stato tra i primi ad analizzare la vulnerabilità, ora identificata con il numero CVE-2022-30190. Secondo Beaumont, gli exploit che sfruttano tale vulnerabilità abusano della funzionalità dei modelli remoti in Word di Microsoft . Beaumont ha denominato la vulnerabilità zero-day “Follina” poiché il file dannoso fa riferimento al numero 0438 , ovvero il prefisso telefonico del paese italiano di Follina.
Follina era stata inizialmente descritta come una vulnerabilità zero-day di Microsoft Office ( Microsoft ), ma secondo Microsoft essa riguarda in realtà lo Strumento di diagnostica del supporto di Microsoft (MSDT), che raccoglie informazioni da inviare al supporto di Microsoft .
“Si verifica una vulnerabilità che consente l’esecuzione di codice da remoto quando MSDT viene richiamato tramite il protocollo URL da un’applicazione chiamante, come ad esempio Word. Un malintenzionato che riesca a sfruttare questa vulnerabilità può eseguire codice arbitrario con i privilegi dell'applicazione chiamante. “L’autore dell’attacco può quindi installare programmi, visualizzare, modificare o eliminare dati, oppure creare nuovi account nei limiti consentiti dai diritti dell’utente”, ha spiegato l’ Microsoft nel proprio avviso relativo a CVE-2022-30190 (si apre in una nuova scheda).
Uno degli aspetti più rilevanti degli exploit noti progettati per sfruttare questa vulnerabilità è che, a differenza della maggior parte degli exploit e dei modelli di phishing che utilizzano documenti di Office Microsoft modificati a scopo malevolo, gli attacchi osservati finora non si basano sulle macro — e il codice dannoso viene eseguito indipendentemente dal fatto che le macro siano disabilitate.
Di seguito sono riportati alcuni altri punti chiave relativi a questa minaccia:
- I payload dei modelli di Word si trovano spesso sui server Exchange che in passato erano vulnerabili a ProxyLogon.
- I modelli utilizzano spesso espressioni come “POC”.
- Tali obiettivi rivestono un noto interesse strategico per la Cina.
Microsoft ha pubblicato delle linee guida (si apre in una nuova scheda) relative a questa vulnerabilità che consente l’esecuzione di codice da remoto, comprese soluzioni alternative e informazioni sui nuovi aggiornamenti di Defender progettati per Detect e bloccare i file e i comportamenti associati alla minaccia.
Il punto di vista di Tanium, analista di intelligence sulle minacce informatiche
La prima cosa che il team Cyber Threat Intelligence desidera sottolineare — e tale opinione è condivisa da molte delle principali aziende del settore della sicurezza informatica — è che la ricerca è ancora in corso. La comunità di sicurezza informatica Community sta attualmente ancora testando e analizzando i vari aspetti della vulnerabilità e degli exploit progettati per sfruttarla, e molte di quelle aziende leader hanno avuto il buon senso di limitarsi a informare i clienti (e l’opinione pubblica) del fatto che non ne sanno ancora tutto. Molti di loro hanno ammesso di aver ricevuto indicazioni contrastanti riguardo alla minaccia — in particolare sul fatto che l’ultima versione della Office365 , con tutte le patch installate, sia vulnerabile a questo specifico tipo di attacco.
Ciò che è chiaro è che questa sembra rappresentare una minaccia significativa. Il fatto che sia stata resa pubblica solo quattro giorni fa e che, ciononostante, si siano già riscontrati casi di sfruttamento in ambiente reale non fa che sottolineare come il lasso di tempo che intercorre tra la divulgazione di una vulnerabilità zero-day e l’inizio delle attività di sfruttamento si stia riducendo di anno in anno.
Se c’è un lato positivo in tutto questo (e con “tutto questo” ci riferiamo al lasso di tempo sempre più breve che intercorre tra la divulgazione di gravi falle di sicurezza e il loro successivo sfruttamento da parte dei malintenzionati), è che Follina rappresenta un altro eccellente esempio di come questo settore — nei suoi giorni migliori — sia in grado di mobilitarsi, collaborare e mettere in atto misure di mitigazione o soluzioni alternative con una rapidità che un tempo sarebbe stata considerata impossibile.
In che modo “ Tanium ” può esservi d’aiuto
Al momento non è disponibile alcuna patch per questa vulnerabilità. Microsoft ha pubblicato delle linee guida, e Tanium può aiutarLa a valutare il grado di esposizione della Sua organizzazione alla vulnerabilità, a segnalare i modelli comportamentali degli attacchi e a implementare le misure di mitigazione, verificandone l’efficacia.
Tanium dispone di diversi strumenti in grado di aiutare i clienti a individuare in modo rapido e semplice le risorse interessate dalla vulnerabilità Follina.
Tanium Interact può essere utilizzato per individuare i sistemi potenzialmente vulnerabili all’interno dell’intera azienda. Consente agli operatori di porre domande ai propri endpoint e di ricevere risposte rapide ed esaurienti.
Tanium Threat Response monitora costantemente gli endpoint alla ricerca di attività sospette, sia online che offline. Attualmente è disponibile un segnale " Tanium " che consente ai clienti di sfruttare l' Detecte del CVE-2022-30190. Il segnale rileva l'esecuzione di msdt.exe con parametri della riga di comando indicativi dell'exploit, così come rilevati e utilizzati dal malware.
Il nostro team di intelligence sulle minacce informatiche continua a monitorare questa vulnerabilità e fornirà aggiornamenti man mano che si presenteranno.
Per informazioni su altre vulnerabilità, consultate le nostre risorse " " e "Emerging Issues" all'indirizzo (si apre in una nuova scheda).
