Ein neuer Zero-Day-Remote-Code-Execution-Fehler in Microsoft Office sorgt für Aufsehen. Genauer gesagt handelt es sich wahrscheinlich um eine Schwachstelle bei der Codeausführung, die von Office-Dateien ausgenutzt werden könnte. Soweit bekannt, gibt es möglicherweise andere Möglichkeiten, diese Schwachstelle zu aktivieren oder zu missbrauchen. Der Sicherheitsforscher Kevin Beaumont hat die Schwachstelle „Follina“ genannt, was sich als nützlicher Suchbegriff zu dem Thema erweist, bis eine offizielle CVE-Nummer vergeben wird.
Wie funktioniert die aktuelle Lücke?
- Benutzer öffnen eine DOC-Datei mit versteckter Schadsoftware, die sie beispielsweise per E-Mail erhalten haben.
- Das Dokument verweist auf eine herunterladbare https: normal aussehende URL.
- Diese https: URL verweist auf eine HTML-Datei, die JavaScript-Code enthält.
- JavaScript wiederum zeigt auf eine URL mit der ungewöhnlichen Kennung ms-msdt: statt https:. Unter Windows ist ms-msdt: ein proprietärer URL-Typ, der das MSDT-Software-Toolkit startet. MSDT ist die Abkürzung für Microsoft Support Diagnostic Tool.
- Die über die URL an MSDT gesendete Befehlszeile führt dazu, dass ein nicht vertrauenswürdiger Code ausgeführt wird.
Wenn der bösartige Link ms-msdt: aufgerufen wird, aktiviert er einen MSDT-Befehl mit Befehlszeilenargumenten wie: msdt / id pcwdiagnostic …. Bei manueller Ausführung ohne andere Parameter lädt dieser Befehl automatisch MSDT und ruft die Problembehandlung für die Programmkompatibilität auf , was harmlos erscheint:
Von hier aus können Benutzer eine Fehlerbehebungsanwendung auswählen, die verschiedene supportbezogene Fragen beantwortet, automatisierte Tests für die Anwendung durchführt oder das Problem an Microsoft meldet, während sie verschiedene Fehlerbehebungsdaten hochlädt. Obwohl Benutzer wahrscheinlich nicht erwarten, dieses Diagnosedienstprogramm nur durch Öffnen eines Word-Dokuments aufzurufen, steigen die Chancen, diese Reihe von Popup-Dialogfeldern zu “akzeptieren”.
Remote-Ausführung automatisierter Skripte Im Follina-Fall scheinen die Angreifer jedoch einige ungewöhnliche, aber auch sehr irreführende Optionen zum Einschleichen in die Befehlszeile vorgeschlagen zu haben. Infolgedessen erledigt die MSDT-Fehlerbehebung ihre Aufgabe aus der Ferne. Anstatt sich zu fragen, wie der Benutzer vorgehen möchte, haben Cyberkriminelle eine Reihe von Parametern eingebaut, die nicht nur dazu führen, dass die Operation automatisch fortgesetzt wird (z. B. die Optionen / skip und / force), sondern auch einen Skript-PowerShell-Aufruf. Erschwerend kommt hinzu, dass sich dieses PowerShell-Skript nicht einmal in einer Datei auf der Festplatte befinden muss: Es kann in Form von verschlüsseltem Quellcode direkt von der Befehlszeile selbst bereitgestellt werden, zusammen mit allen anderen verwendeten Optionen. Im Fall „Follina“ wird laut Hammond PowerShell verwendet, um eine ausführbare Datei einer Malware zu extrahieren und freizugeben, die in komprimierter Form bereitgestellt wurde.
Keine Makros erforderlich Wichtig ist die Tatsache, dass dieser Angriff von Word ausgelöst wird, das auf die irreführende URL ms-msdt : verweist, die von einer in derselben DOC-Datei enthaltenen URL referenziert wird. Aufgrund dieser Vorgehensweise gibt es keine VBA-Office-Makros (Visual Basic for Applications), sodass dieser Trick auch dann funktioniert, wenn Office-Makros deaktiviert sind.
Es sieht also wie eine nützliche Office-URL-“Funktion” in Kombination mit einer nützlichen MSDT-Diagnose-“Funktion” aus. Tatsächlich schafft es jedoch eine Schwachstelle, die mit einem einzigen Klick zur Remote-Code-Ausführung führen kann. So kann bereits beim Öffnen eines so präparierten Word-Dokuments Schadsoftware übertragen werden, ohne dass der Nutzer es merkt.
Tatsächlich schreibt Hammond, dass dieser Trick zu einem noch direkteren Angriff werden kann, indem irreführende Inhalte in eine RTF-Datei statt in eine DOC-Datei gepackt werden. In diesem Fall reicht es aus, nur eine Vorschau des Dokuments im Windows Explorer anzuzeigen, um den Exploit zu aktivieren, ohne auch nur darauf zu klicken, um es zu öffnen. Allein das Rendern des Thumbnail-Vorschaufensters würde Windows und Office zum Stolpern bringen.
Was zu tun ist? Erwarten Sie, dass Microsoft bald einen offiziellen Fix und einen permanenten Patch herausbringt. So nützlich Microsoft-eigene ms-xxxx-URLs auch sein mögen, die Tatsache, dass sie darauf ausgelegt sind, Prozesse automatisch zu starten, wenn bestimmte Dateitypen geöffnet oder auch nur zuvor angesehen werden, ist eindeutig ein Sicherheitsrisiko.
Im Moment besteht eine der am häufigsten verwendeten Fehlerbehebungstechniken in der Community darin, einfach die Beziehung zwischen ms-msdt: URLs und dem Dienstprogramm MSDT.EXE zu unterbrechen. Sophos-Experte Paul Ducklin beschreibt dies ausführlich in seinem Blogbeitrag.
Sophos-Produkte stoppen das Problem Sophos Endpoint-Produkte erkennen und blockieren bekannte Angriffe, die mit diesem Exploit als Troj / DocDl-AGDX durchgeführt werden. Dieser Erkennungsname kann verwendet werden, um nach Datensätzen sowohl der DOC-Dateien zu suchen, die den anfänglichen Download auslösen, als auch der HTML-Dateien der „zweiten Phase“, die darauf folgen. E-Mail- und Web-Filter-Produkte von Sophos fangen solche Angriffsdateien ab, wie z. B. CXmail / OleDl-AG.