Microsoft: Zero Day soll schon seit sieben Wochen ausgenutzt werden
Die Follina genannte Zero Day in Microsoft Office in Kombination mit dem Microsoft Diagnostics Tool (MSDT) soll bereits seit sieben Wochen aktiv ausgenutzt werden. Das berichtet das Onlinemagazin Ars Technica(öffnet im neuen Fenster) unter Berufung auf die Sicherheitsforscher der Shadow Chaser Group. Demnach wurde die Sicherheitslücke in MSDT bereits im April an Microsoft gemeldet.
Microsoft Security Response Center habe das Problem jedoch nicht als Sicherheitslücke angesehen, da es davon ausging, dass Payloads nur nach Eingabe eines Passwortes ausgeführt werden könnten. Erst vor wenigen Tagen hatte Microsoft dann auch selbst vor der Sicherheitslücke (CVE-2022-30190) gewarnt.
Als die Sicherheitslücke am 12. April an Microsoft gemeldet wurde, sei sie bereits aktiv ausgenutzt worden, erklären die Sicherheitsforscher. Auch die Sicherheitsfirma Proofpoint(öffnet im neuen Fenster) hat mit TA413 bereits eine Advanced Persistant Threat (APT) ausgemacht, welche die Zero Day aktiv ausnutzt. Die staatliche Hackergruppe wird China zugeordnet, allerdings ist eine Attribution von Gruppen und Angriffen generell schwierig .
Follina: über eine Office-Datei hovern reicht
Die Zero Day ermöglicht eine Remote Code Execution (RCE), "wenn MSDT unter Verwendung des URL-Protokolls von einer Anwendung wie Word aufgerufen wird," erklärte Microsoft. Ein Angreifer, der die Schwachstelle ausnutze, könne beliebigen Code mit den Rechten der aufrufenden Anwendung ausführen.
Dabei reicht es bereits, wenn über ein Office-Dokument mit der Maus gehovert wird, um die Vorschaufunktion zu triggern und damit die Sicherheitslücke ohne weitere Interaktion mit den Anwendern auszunutzen. Ein Aktivieren von Makros oder gar das Öffnen des Office-Programmes ist nicht notwendig.
Um das Ausnutzen der Sicherheitslücke zu verhindern, rät Microsoft(öffnet im neuen Fenster) , das MSDT-URL-Protokoll zu deaktivieren. Dazu müsse die Eingabeaufforderung als Administrator gestartet und mit zwei Befehlen der Registrierungsschlüssel gesichert und anschließend gelöscht werden. Zudem verweist Microsoft auf die Cloud-Protection seiner Antivirus-Software Defender. Betroffen seien alle aktuellen Windows-Versionen. Ein Patch steht noch nicht zur Verfügung.