El sector de la ciberseguridad está en plena efervescencia a raíz de una nueva vulnerabilidad de día cero en Microsoft Office. Según los investigadores, se ha observado que esta vulnerabilidad de seguridad está siendo explotada de forma activa en ataques perpetrados tanto por ciberdelincuentes como por grupos APT patrocinados por Estados.
Según se ha informado, la vulnerabilidad fue descubierta (se abre en una nueva pestaña) en May 27, 2022 por el equipo de investigación en ciberseguridad Nao_sec, que detectó la vulnerabilidad de día cero mientras examinaba un documento de Word de aspecto extraño encontrado en la red y subido desde una dirección IP de Bielorrusia. Cabe señalar que Defender for Endpoint no detectó la ejecución del código malicioso contenido en los documentos maliciosos.
Lo que sabemos sobre el CVE-2022-30190
El investigador en seguridad Kevin Beaumont fue uno de los primeros en analizar la vulnerabilidad, que ahora se conoce con el número de referencia CVE-2022-30190. Según Beaumont, los exploits que aprovechan esta vulnerabilidad hacen un uso indebido de la función de plantillas remotas de Microsoft Word. Beaumont denominó a esta vulnerabilidad de «día cero» «Follina», ya que el archivo malicioso hace referencia al número 0438 , el prefijo telefónico de la localidad italiana de Follina.
En un principio, «Follina» se describió como una vulnerabilidad de día cero de Microsoft Office, pero Microsoft afirma que, en realidad, afecta a la Herramienta de Diagnóstico de Soporte de Microsoft (MSDT), que recopila información que se envía al servicio de soporte técnico de Microsoft.
«Existe una vulnerabilidad que permite la ejecución remota de código cuando se invoca a MSDT mediante el protocolo URL desde una aplicación que lo invoca, como Word. Un atacante que consiga aprovechar esta vulnerabilidad podrá ejecutar código arbitrario con los privilegios de la aplicación que realiza la llamada. «El atacante podría entonces instalar programas, consultar, modificar o eliminar datos, o crear nuevas cuentas dentro de los límites que permiten los derechos del usuario», explicó Microsoft en su aviso « » para CVE-2022-30190 (se abre en una nueva pestaña).
Uno de los aspectos más destacados de los exploits conocidos diseñados para aprovechar este fallo es que, a diferencia de la mayoría de los exploits y plantillas de phishing que utilizan documentos de Microsoft Office manipulados, los ataques observados hasta la fecha no se basan en macros, y el código malicioso se ejecuta independientemente de si las macros están desactivadas.
A continuación se exponen otras conclusiones clave sobre esta amenaza:
- Las cargas útiles en formato de plantilla de Word suelen encontrarse en servidores de Exchange que, en su momento, eran vulnerables a ProxyLogon.
- En las plantillas se suelen utilizar expresiones como «POC».
- Se sabe que dichos objetivos revisten un interés estratégico para China.
Microsoft ha publicado directrices (se abre en una nueva pestaña) sobre esta vulnerabilidad de ejecución remota de código, que incluyen soluciones provisionales e información sobre las nuevas actualizaciones de Defender diseñadas para detectar y bloquear archivos y comportamientos asociados a la amenaza.
La perspectiva de un analista de inteligencia sobre amenazas cibernéticas de Tanium
Lo primero que el equipo de Inteligencia sobre Amenazas Cibernéticas desea destacar —y esta opinión es compartida por muchas de las principales empresas de ciberseguridad del sector— es que la investigación sigue en curso. La comunidad de seguridad de la información sigue actualmente analizando y evaluando los distintos aspectos de la vulnerabilidad y los exploits diseñados para aprovecharla, y muchas de esas empresas líderes han tenido el buen criterio de limitarse a informar a sus clientes (y al público en general) de que aún no lo saben todo al respecto. Muchos de ellos han admitido haber recibido mensajes contradictorios sobre la amenaza, en particular sobre si la última versión de la Office365 , con todos los parches instalados, es vulnerable a este tipo concreto de ataque.
Lo que está claro es que esto parece constituir una amenaza importante. El hecho de que se haya hecho público hace tan solo cuatro días y, sin embargo, ya hayamos observado actividad de explotación en el mundo real no hace sino poner de relieve que el tiempo que transcurre entre la divulgación de una vulnerabilidad de día cero y la aparición de actividad de explotación se está reduciendo cada año.
Si hay algún aspecto positivo en todo esto (y cuando decimos «todo esto» nos referimos al cada vez más reducido margen de tiempo que transcurre entre la revelación de graves fallos de seguridad y su posterior explotación por parte de los delincuentes), es que Follina constituye otro ejemplo paradigmático de cómo este sector —en sus mejores momentos— es capaz de movilizarse, colaborar y poner en marcha medidas de mitigación o soluciones provisionales con una rapidez que antes se consideraba imposible.
Cómo puede ayudarle Tanium
En la actualidad, no existe ningún parche para esta vulnerabilidad. Microsoft ha publicado una guía, y Tanium puede ayudarle a evaluar el grado de exposición de su organización a dicha vulnerabilidad, alertarle sobre el patrón de comportamiento del ataque y aplicar las medidas de mitigación, así como validarlas.
Tanium dispone de varias herramientas que pueden ayudar a los clientes a identificar de forma rápida y sencilla los activos afectados por la vulnerabilidad Follina.
Tanium Interact permite identificar los sistemas que podrían ser vulnerables en toda la empresa. Ofrece a los responsables de la respuesta la posibilidad de formular preguntas a sus terminales y recibir respuestas rápidas y exhaustivas.
Tanium Threat Response supervisa de forma continua los terminales en busca de actividades sospechosas, tanto en línea como fuera de línea. Actualmente hay una alerta de Tanium disponible para que los clientes puedan detectar el aprovechamiento de la vulnerabilidad CVE-2022-30190. La señal detecta la ejecución de msdt.exe con parámetros de línea de comandos que indican la presencia del exploit, tal y como lo detecta y utiliza el malware.
Nuestro equipo de inteligencia sobre amenazas cibernéticas sigue vigilando esta vulnerabilidad y compartirá las novedades a medida que se produzcan.
Para obtener información sobre otras vulnerabilidades, visite nuestros recursos de « : Emerging Issues» en (se abre en una nueva pestaña),y .
