Microsoft: Zero Day soll schon seit sieben Wochen ausgenutzt werden

Die ungepatchte Sicherheitslücke Follina ist Microsoft schon seit sieben Wochen bekannt - und soll bereits genauso lange aktiv ausgenutzt werden.

Artikel veröffentlicht am 2. Juni 2022, 16:31 Uhr, Moritz Tremmel

Nach sieben Wochen erkennt Microsoft eine Sicherheitslücke an ... (Bild: Uzair Ahmed/Pixabay)

Die Follina genannte Zero Day in Microsoft Office in Kombination mit dem Microsoft Diagnostics Tool (MSDT) soll bereits seit sieben Wochen aktiv ausgenutzt werden. Das berichtet das Onlinemagazin Ars Technica unter Berufung auf die Sicherheitsforscher der Shadow Chaser Group. Demnach wurde die Sicherheitslücke in MSDT bereits im April an Microsoft gemeldet.

Microsoft Security Response Center habe das Problem jedoch nicht als Sicherheitslücke angesehen, da es davon ausging, dass Payloads nur nach Eingabe eines Passwortes ausgeführt werden könnten. Erst vor wenigen Tagen hatte Microsoft dann auch selbst vor der Sicherheitslücke (CVE-2022-30190) gewarnt.

Als die Sicherheitslücke am 12. April an Microsoft gemeldet wurde, sei sie bereits aktiv ausgenutzt worden, erklären die Sicherheitsforscher. Auch die Sicherheitsfirma Proofpoint hat mit TA413 bereits eine Advanced Persistant Threat (APT) ausgemacht, welche die Zero Day aktiv ausnutzt. Die staatliche Hackergruppe wird China zugeordnet, allerdings ist eine Attribution von Gruppen und Angriffen generell schwierig.

Follina: über eine Office-Datei hovern reicht

Die Zero Day ermöglicht eine Remote Code Execution (RCE), "wenn MSDT unter Verwendung des URL-Protokolls von einer Anwendung wie Word aufgerufen wird", erklärte Microsoft. Ein Angreifer, der die Schwachstelle ausnutze, könne beliebigen Code mit den Rechten der aufrufenden Anwendung ausführen.

Dabei reicht es bereits, wenn über ein Office-Dokument mit der Maus gehovert wird, um die Vorschaufunktion zu triggern und damit die Sicherheitslücke ohne weitere Interaktion mit den Anwendern auszunutzen. Ein Aktivieren von Makros oder gar das Öffnen des Office-Programmes ist nicht notwendig.

Um das Ausnutzen der Sicherheitslücke zu verhindern, rät Microsoft, das MSDT-URL-Protokoll zu deaktivieren. Dazu müsse die Eingabeaufforderung als Administrator gestartet und mit zwei Befehlen der Registrierungsschlüssel gesichert und anschließend gelöscht werden. Zudem verweist Microsoft auf die Cloud-Protection seiner Antivirus-Software Defender. Betroffen seien alle aktuellen Windows-Versionen. Ein Patch steht noch nicht zur Verfügung.