[SECURITY ALERT]
Hoy se ha hecho pública una vulnerabilidad 0-day en Microsoft Office que puede explotarse utilizando documentos de Word.
Los atacantes pueden explotar esta vulnerabilidad, incluso si las macros de Office están deshabilitadas.
¡Abro hilo a vuela pluma!
Hoy se ha hecho pública una vulnerabilidad 0-day en Microsoft Office que puede explotarse utilizando documentos de Word.
Los atacantes pueden explotar esta vulnerabilidad, incluso si las macros de Office están deshabilitadas.
¡Abro hilo a vuela pluma!
La vulnerabilidad fue revelada inicialmente por @nao_sec a través de Twitter el 27 de mayo:
https://twitter.com/nao_sec/status/1530196847679401984
"El documento utiliza la función de plantilla remota de Word para recuperar un archivo HTML de un servidor web remoto, que a su vez utiliza el esquema de URI MSProtocol ms-msdt para cargar código y ejecutar PowerShell", explica. "Eso no debería ser posible".
Los atacantes pueden explotar esta vulnerabilidad, a la que se ha denominado "Follina", incluso si las macros de Office están deshabilitadas.
Office 2013, 2016, 2019, 2021 y algunas versiones de Office 365 están sujetas a esta vulnerabilidad tanto en Windows 10 como en 11.
Office 2013, 2016, 2019, 2021 y algunas versiones de Office 365 están sujetas a esta vulnerabilidad tanto en Windows 10 como en 11.
O sea, esta vulnerabilidad proporciona una forma de ejecutar código en un sistema de destino con un solo clic o incluso simplemente con una vista previa del documento malicioso, utilizando herramientas de soporte (ms-msdt) y PowerShell.
¡De locos!
¡De locos!
Obviamente, ahora vamos a tener una avalancha de correos electrónicos con adjuntos intentando explotar esta vulnerabilidad, por lo que hay que EXTREMAR LAS PRECAUCIONES.
En caso de que al abrir algún fichero en Word, el sistema comience a "Buscar problemas" con el Programa de Compatibilidad, recomiendo desconectar ese equipo de la red rápidamente y comenzar con el protocolo establecido.
Espero vuestros replys con más info!
Cuidadito ahí fuera!
Espero vuestros replys con más info!
Cuidadito ahí fuera!
Vale, tenemos mitigación provisional para "Follina":
Eliminar la clave del registro: [-HKEY_CLASSES_ROOT\ms-msdt]
Como siempre, recomiendo antes sacar copia del registro por lo que pueda pasar.
gist.github.com/wdormann/03196…
Eliminar la clave del registro: [-HKEY_CLASSES_ROOT\ms-msdt]
Como siempre, recomiendo antes sacar copia del registro por lo que pueda pasar.
gist.github.com/wdormann/03196…
Para que veáis lo insultantemente fácil que es...
Da miedito. Mucho.
Da miedito. Mucho.
https://twitter.com/cibernicola_es/status/1531236840094715904
Al realizar la mitigación, eliminando la clave -HKEY_CLASSES_ROOT\ms-msdt del registro, si se intenta lanzar el ataque, el usuario verá esto de la foto.
No es óptimo, pero algo es algo.
No es óptimo, pero algo es algo.
Como quizás Twitter no sea el lugar más adecuado a veces para poder informar en tiempo real, he creado un canal informativo de Telegram donde ir volcando la información:
t.me/dmntrnetworkso…
t.me/dmntrnetworkso…
Para todos los que usáis Active Directory: Mitigación por GPO.
https://twitter.com/gentilkiwi/status/1531384447219781634
• • •
Missing some Tweet in this thread? You can try to
force a refresh
