Se Windows genera un errore, hai un problema di virus o vuoi discutere/segnalare l'uscita della nuova versione di un software per la piattaforma Microsoft, questa è la sezione giusta.
Di file di Word contenenti macrovirus o allegati infetti ce ne sono stati un numero inverosimile.
La falla CVE-2022-30190, nota più semplicemente come Follina [1] ripropone lo stesso schema ma ha delle singolarità notevoli. I file Word che sfruttano questa falla non hanno macro ne allegati ma sono in grado di invocare il file
(...)/windows/system32/msdt.exe
che corrisponde all'applicazione Microsoft Support Diagnostic Tool (quell'inutile procedura guidata che dovrebbe risolvere i vari problemi di Windows). Attraverso msdt.exe diventa possibile seguire comandi, installare software, etc.
Aspetto interessante è che per i file doc/docx l'attacco richiede l'apertura del file in Word mentre per i file rtf è sufficiente che Windows ne mostri l'anteprima (che è una delle prime cose che andrebbero disabilitate...). In sostanza quindi la falla è più di Windows che di Word, non ché questo cambi di molto la situazione.
Mitiga il problema il fatto che msdt.exe viene lanciato con i diritti dell'utente corrente (che dovrebbe sempre essere un utente limitato). Se il firewall è settato in maniera rigida inoltre, msdt.exe non avrà accesso alla rete per cui l'attaccante dovrà trovare modi più creativi per sottrarre informazioni e scaricare altro malware.
[1] Follina è un comune italiano nel Veneto. Lo scopritore della vulnerabilità ha scelto questo nome perché nel nome del file infetto che stava esaminando c'era il codice 0438 che (sfortunatamente) è anche il prefisso di quella zona https://doublepulsar.com/follina-a-micr ... 47fce5629e
Ti ringrazio per queste informazioni.
Ho atteso perchè ho voluto approfondire un po'.
Leggo da https://msrc.microsoft.com/update-guide ... 2022-30190
che è richiesta l'interazione dell'utente, visto che per sfruttare la vulnerabilità è necessario aprire un documento infetto distribuito via campagna di mailspam.
Volendo è anche possibile impedire a MS Office di creare "processi figli" (Child processes), si può fare dall'antiexploit integrato, come qui descritto https://docs.microsoft.com/en-us/micros ... processes=
Chi usa Configure Defender lo potrà fare dal programmino stesso.
Ma, alla fine, un utente con un minimo di esperienza non aprirà un allegato del genere, non avrà l'anteprima abilitata e l'utente inesperto non applicherà alcuna delle soluzioni temporanee applicate, potrà comunque fare affidamento sulle rilevazioni di Microsoft Defender.
“This social engineering technique requires a user to run a malicious document and interact with a list of executables from an attacker specified network share. We recommend users practice safe computing habits and to only open files that come from trusted sources.” – a Microsoft spokesperson.
next ha scritto: ↑lun giu 06, 2022 8:14 am
Grazie, non conoscevo ConfigureDefender... sembra interessante.
Ci dovrò dare un'occhiata appena trovo il tempo.
Prego, lo trovi qui https://github.com/AndyFul/ConfigureDefender
volendo anche su Softpedia https://www.softpedia.com/get/PORTABLE- ... nder.shtml
E' portable, freeware ma non in italiano, funziona egregiamente anche con Windows 11, è molto intuitivo.
Nel forum di Malwaretips ci sono ampie discussioni in merito dove partecipa anche lo sviluppatore, be' anche nei forum di Wilderssecurity se ne parla
Inserendo un messaggio, dichiari di aver letto e accettato il regolamento di partecipazione.
Nello specifico, sei consapevole che ti stai assumendo personalmente la totale responsabilità delle tue affermazioni, anche in sede civile e/o penale,
manlevando i gestori di questo sito da ogni coinvolgimento e/o pretesa di rivalsa.
Dichiari inoltre di essere consapevole che il messaggio sarà visibile pubblicamente, accetti di diffonderlo con licenza
CC BY-NC-SA 3.0 (con attribuzione a "TurboLab.it") e rinunci ad ogni forma di compensazione (economica o altro).
Rinunci inoltre esplicitamente a qualsiasi pretesa di cancellazione del messaggio.
Re: Follina; il solito file Word che infetta Windows (ma non proprio)
