🚀 أصبحت CloudSek أول شركة للأمن السيبراني من أصل هندي تتلقى استثمارات منها ولاية أمريكية صندوق
اقرأ المزيد
ثغرة Follina RCE CVE-2022-30190 في MS Office تستغل بنشاط من قبل الجهات الفاعلة في مجال التهديدالفئة:
ذكاء نقاط الضعففئة نقاط الضعف الأمنية:
تنفيذ التعليمات البرمجية عن بُعدغطاء الكهف:
CVE-2022-30190السيرة الذاتية: 3.0 النتيجة:
7.8/7.3
قائمة نقاط الضعف الأمنية الخاصة بـ MS Office RCE: الجدول الزمني للأحداث [/caption]
في منتديات الويب المظلم والجرائم الإلكترونية، هناك العديد من الجهات الفاعلة في مجال التهديد:
التحليل الفني للموديل CVE-2022-30190
بمجرد أن يقوم المهاجم بتعديل عنوان URL، يصل المستند، عند فتحه، إلى خادم C2 الخاص بالمهاجم ويجلب تعليمات برمجية ضارة تستدعي powershell.
جلبت العينة الأصلية الملف التالي
إذا كان الملف الذي تم تنزيله لا يحتوي على 4096 بايت، فإن العملية الفرعية msdt تطلب من المستخدم كلمة مرور. هذا هو سبب احتواء الملف على تعليقات زائدة عن الحاجة.
ال WINWORD.exe تبدأ العملية ثم تبدأ عملية الطفل msdt.exe. ثم يتم استخدام MSDT لاستدعاء powershell وتشغيل أمر base64 المشفر وهو:
هنا يحاول ممثل التهديد تنفيذ الحمولة النهائية عبر سطر أوامر MS. محتويات rgb.exe غير معروف حاليًا. ومع ذلك، في البرية، تقوم الجهات الفاعلة في مجال التهديد بإسقاط حمولات Cobalt Strike وبرامج تحميل Stealers والبرامج الضارة الأخرى عبر أوامر PS المشفرة. ومن ثم فإن أفضل افتراض لدينا هو أن rgb.exe يمكن أن يكون هو الموضح أعلاه.
يمكن للجهات الفاعلة في مجال التهديد الآن الاستفادة من قدرة تشغيل الأوامر للتنقل أفقيًا عبر البنية التحتية للضحية أو لتصعيد الامتيازات وإسقاط برامج الفدية، أو للحفاظ على الثبات.
لقطة الشاشة مأخوذة من ورقة بحث التي تسلط الضوء على مشكلة ms-msdt
ملخص تنفيذي
تهديدتأثيرتخفيف- ثغرة أمنية لمدة 0 يوم يطلق عليها اسم Follina (CVE-2022-3019) هي ثغرة RCE في مايكروسوفت أوفيس.
- لقد ظل ناقل الهجوم في العلن لمدة عامين.
- الزيادة الأخيرة في محادثات الويب المظلمة المتعلقة بتسليح POCs المتاحة للجمهور لتجاوز صناديق الحماية و EDRs.
- يمكن للمهاجمين استغلال هذه الثغرة الأمنية لتنفيذ الأوامر عن بُعد.
- يمكن للمهاجمين الاستفادة من الاستغلال لإسقاط البرامج الضارة وبرامج الفدية.
- فقدان الإيرادات والسمعة والملكية الفكرية.
نظرة عامة على نموذج CVE-2022-30190
- تمت تسمية CVE-2022-30190 باسم Follina لأن ملف الاستغلال الأصلي يشير إلى الرقم 0438، وهو رمز منطقة فولينا في إيطاليا.
- إنها ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد (RCE) مع وجود متجهات بنقرة صفر متاحة للجمهور. وبالتالي من السهل استغلالها ويمكن أن يكون لها تأثير كبير على الضحايا.
- لا يتضمن ناقل الثغرات الأمنية/الهجوم هذا استخدام وحدات الماكرو وهو ما يجعل الأمر أكثر خطورة حيث يتم وضعها في وضع الحماية الآن وتم تعطيلها افتراضيًا. يحتاج متجه الهجوم هذا فقط إلى فتح المستند الضار دون تمكين أي شيء.
- خلافًا للاعتقاد الشائع، ظل ناقل الهجوم هذا في العلن لمدة عامين. تم تفصيل استغلال MS-MSDT في هذه ورقة بحث.
معلومات من OSINT
حدد فريق أبحاث التهديدات في CloudSek أنه تم استغلال ثغرة Follina قبل الاستشارات والحلول الأخيرة من Microsoft.- في أبريل 2022 كريزيمان_أرمي سلط الضوء على الاستغلال النشط لـ CVE-2022-30190. حتى أنه تم الإبلاغ عن المتجه إلى Microsoft ولكن لم يتم اعتباره مشكلة صالحة.
- تم تحديد هذه المشكلة مرة أخرى بواسطة NAO_sec في مايو 2022. أثناء البحث عن محاولات الاستغلال المحتملة لـ CVE-2021-40444، Nao_sec تعثرت على ملف والتي كانت تستخدم حمولة ms-msdt لاستدعاء بوويرشيل وتنفيذ الأوامر، ولكن تم وضع علامة CVE-2017-0199 بواسطة VirusTotal. تم استخدام هذه العينة لإنشاء ثغرات PoC، ومنذ ذلك الحين اكتسبت Follina اهتمامًا عامًا كبيرًا.
- تم اكتشاف ناقل الهجوم نفسه في عام 2020 وظل في العلن لمدة عامين.
قائمة نقاط الضعف الأمنية الخاصة بـ MS Office RCE: الجدول الزمني للأحداث [/caption]
معلومات من منتديات الويب المظلمة
حدد CloudSek بالفعل الأحاديث في منتديات الويب المظلمة التي تناقش استخدام POCs المتاحة للجمهور لتجاوز صناديق الحماية و EDRs. تسرع الجهات الفاعلة في مجال التهديد ومجموعات APT في اكتشاف واستغلال نقاط الضعف في الخدمات الشائعة. في هذه الحالة، أدى التعقيد المنخفض لناقل الهجوم إلى جعله هدفًا جذابًا بشكل خاص. بدأت مجموعة التهديدات الصينية TA413 بالفعل في استغلال هذه الثغرة من خلال انتحال شخصية «مكتب تمكين المرأة» التابع للإدارة المركزية التبتية، كما هو موضح في الصورة أدناه:
في منتديات الويب المظلم والجرائم الإلكترونية، هناك العديد من الجهات الفاعلة في مجال التهديد:
- مناقشة ضعف Follina وطرق الاستغلال المحتملة.
- بيع مستغلين جماعيين لـ CVE
التحليل الفني للموديل CVE-2022-30190
كيف تحدد الجهات الفاعلة في مجال التهديد الحالات الضعيفة
للتحقق من أي محاولات استغلال، يبحث المهاجمون في مفتاح التسجيل التالي عن أي نطاقات مشبوهة يتم الوصول إليها بواسطة تطبيق Office: HKEY_USERS\<SID>\ البرنامج\ Microsoft\ Office\ 16.0\ ذاكرة التخزين المؤقت المشتركة\ الإنترنت\ الخادم. يعرض عنوان IP وبيانات المنفذ المدرجة تحت المفتاح أعلاه الاتصالات الخارجية التي أجراها تطبيق Office.استغلال الثغرة الأمنية
تتضمن الثغرة الأمنية إرسال مستند Microsoft office إلى الضحية. يؤدي فتح المستند إلى بدء تشغيل WINWORD.exe الذي يحتوي على مرجع خارجي إلى URI ضار: xmlformats.com (تمت إزالة هذا الآن). يمكن للمهاجمين استخدام خوادم الأوامر والتحكم الخاصة بهم عن طريق تعديل الملف التالي: word/_rels/document.xml.rels.
بمجرد أن يقوم المهاجم بتعديل عنوان URL، يصل المستند، عند فتحه، إلى خادم C2 الخاص بالمهاجم ويجلب تعليمات برمجية ضارة تستدعي powershell.
جلبت العينة الأصلية الملف التالي
إذا كان الملف الذي تم تنزيله لا يحتوي على 4096 بايت، فإن العملية الفرعية msdt تطلب من المستخدم كلمة مرور. هذا هو سبب احتواء الملف على تعليقات زائدة عن الحاجة.
ال WINWORD.exe تبدأ العملية ثم تبدأ عملية الطفل msdt.exe. ثم يتم استخدام MSDT لاستدعاء powershell وتشغيل أمر base64 المشفر وهو:
هنا يحاول ممثل التهديد تنفيذ الحمولة النهائية عبر سطر أوامر MS. محتويات rgb.exe غير معروف حاليًا. ومع ذلك، في البرية، تقوم الجهات الفاعلة في مجال التهديد بإسقاط حمولات Cobalt Strike وبرامج تحميل Stealers والبرامج الضارة الأخرى عبر أوامر PS المشفرة. ومن ثم فإن أفضل افتراض لدينا هو أن rgb.exe يمكن أن يكون هو الموضح أعلاه.
يمكن للجهات الفاعلة في مجال التهديد الآن الاستفادة من قدرة تشغيل الأوامر للتنقل أفقيًا عبر البنية التحتية للضحية أو لتصعيد الامتيازات وإسقاط برامج الفدية، أو للحفاظ على الثبات.
التأثير والتخفيف
التأثيرالتخفيف- يمكن للمهاجمين استخدام هذه الثغرة الأمنية لتنفيذ الأوامر عن بُعد
- يمكن للجهات الفاعلة في مجال التهديد إساءة استخدام هذه الثغرة الأمنية لسرقة تجزئات NTLM من الأنظمة المستهدفة، مع إنشاء اتصالات خارجية بنظام المهاجم. قد يؤدي ذلك إلى مزيد من الهجمات التي تستهدف AD والتي قد تعرض الشبكة الداخلية للضحية للخطر.
- نظرًا لسهولة استغلال الخلل، يمكن للجهات الفاعلة في مجال التهديد استهداف عدد كبير من الضحايا والاستفادة منه لنشر برامج الفدية.
- الخسارة المحتملة للإيرادات والسمعة والملكية الفكرية.
- لا تزال هذه الثغرة الأمنية صالحة لمدة 0 يومًا نظرًا لعدم وجود تصحيح متاح.
- هناك بعض الحلول التي تساعد على مدونة Microsoft الرسمية وقد اقترح
- تعطيل بروتوكول عنوان URL الخاص بـ msdt
- يمكن لعملاء Microsoft Defender for Endpoint تمكين قاعدة تقليل سطح الهجوم «BlockOfficeCreateProcessRule» التي تمنع تطبيقات Office من إنشاء عمليات فرعية
- هؤلاء قواعد سيغما يمكن استخدامها للكشف عن النشاط الضار
المراجع
- #https://en.wikipedia.org/wiki/Traffic_Light_Protocol
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30190
- https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/
- https://github.com/JohnHammond/msdt-follina
- https://benjamin-altpeter.de/doc/thesis-electron.pdf
- https://app.any.run/tasks/713f05d2-fe78-4b9d-a744-f7c133e3fafb/ #
- https://gist.github.com/matthewB-huntress/14ab9d309f25a05fc9305a8e7f351089
- https://www.huntress.com/blog/microsoft-office-remote-code-execution-follina-msdt-bug
- https://billdemirkapi.me/unpacking-cve-2021-40444-microsoft-office-rce/
الملحق
لقطة الشاشة مأخوذة من ورقة بحث التي تسلط الضوء على مشكلة ms-msdt
