La ciberseguridad se ha convertido en una de las principales preocupaciones de las organizaciones en la era digital de hoy, donde los ataques cibernéticos pueden causar pérdidas millonarias, daños a la reputación, y exposición de datos sensibles. Ante este escenario, muchas empresas siguen un enfoque reactivo, es decir, responden a [...]
El 30 de mayo del presente año, Microsoft emitió el CVE-2022-31190 con respecto a la vulnerabilidad etiquetada como “FOLLINA”.
En el MSDT (Herramienta de diagnóstico de Soporte Microsoft).
Esta vulnerabilidad se ejecuta cuando se llama a MSDT mediante el protocolo URL desde ciertas aplicaciones de Microsoft Office, particularmente Microsoft Word. Su vector de ataque es local.
En un escenario, un atacante podría crear un archivo de Microsoft Word, enviarlo vía e-mail a su víctima, cuando este descargué y lea el archivo, el atacante podría ejecutar comandos de manera remota con los permisos otorgados por la aplicación al momento de abrir el documento.
Un atacante remoto puede:
Los ataques recopilados ejecutaron comandos en PowerShell
Esta vulnerabilidad de ejecución de código remoto impacta a las versiones, incluso con parches actualizados de Microsoft Office entre ellos Office 2019 y 2021. MSDT esta incluido en todas las versiones de Windows.
Para los clientes de la solución Crowdstrike, recomendamos ampliamente que se active en sus políticas de prevención el módulo de Suspicious Processes.
Siguiendo los siguientes pasos:
En la nueva versión de la consola de Crowdstrike:
En la versión anterior de la consola de Crowdstrike
El equipo de Crowdstrike continua desarrollando y lanzando nueva lógica de comportamiento para la Plataforma Falcon, para detectar y prevenir comportamientos maliciosos relacionados con FOLLINA.
Así mismo se debe mantener los activos Windows actualizados con sus respectivos parches publicados por Microsoft y las políticas de actualización de sensores por parte de Crowdstrike.
Una alternativa para remediar esta vulnerabilidad es deshabilitar el protocolo URL de MSDT.
La desactivación del protocolo URL de MSDT evita que los solucionadores de problemas se inicien como enlaces, incluidos enlaces en todo el sistema operativo. Aún se puede acceder a los solucionadores de problemas usando la aplicación Obtener ayuda y en la configuración del sistema como otros solucionadores de problemas adicionales. Siga estos pasos para desactivar:
Cómo deshacer la solución
Adicional, recomendamos leer el comunicado oficial de Microsoft en busca más información: Guía oficial CVE-2022-30190
Investigación desarrollada por: Paulina Rodríguez.
**Te invitamos a leer nuestras investigaciones Explotando Vulnerabilidad Fortinet CVE-2018-13379
El día de Hoy, el equipo de Purple Security tiene el placer de anunciarles el estreno de nuestro nuevo Podcast de Ciberseguridad y Tecnología titulado “Encriptados”. Decidimos utilizar este nuevo ...
Monterrey, N.L. México