Un acteur de la menace persistante avanc\u00e9e (APT) align\u00e9 sur les int\u00e9r\u00eats de l’\u00c9tat chinois a \u00e9t\u00e9 observ\u00e9 en train de militariser la nouvelle faille zero-day dans Microsoft Office pour obtenir l’ex\u00e9cution de code sur les syst\u00e8mes concern\u00e9s.<\/p>\n
“TA413 CN APT rep\u00e9r\u00e9 [in-the-wild] exploitant le jour z\u00e9ro de Follina en utilisant des URL pour fournir des archives ZIP contenant des documents Word qui utilisent la technique \u00bb, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 d’entreprise Proofpoint a dit<\/a> dans un tweet.<\/p>\n “Les campagnes se font passer pour le ‘bureau d’autonomisation des femmes’ de l’administration centrale tib\u00e9taine et utilisent le domaine tibet-gov.web[.]application.”<\/p>\n TA413<\/a> est surtout connu pour ses campagnes destin\u00e9es \u00e0 la diaspora tib\u00e9taine pour livrer des implants tels que Exiler le RAT<\/a> et S\u00e9pulcre<\/a> ainsi qu’une extension de navigateur Firefox malveillante appel\u00e9e FriarFox.<\/p>\n La faille de s\u00e9curit\u00e9 de haute gravit\u00e9, baptis\u00e9e Follina et suivie comme CVE-2022-30190 (score CVSS\u00a0: 7,8), concerne un cas d’ex\u00e9cution de code \u00e0 distance qui abuse du sch\u00e9ma d’URI de protocole “ms-msdt\u00a0:” pour ex\u00e9cuter du code arbitraire.<\/p>\n Plus pr\u00e9cis\u00e9ment, l’attaque permet aux acteurs de la menace de contourner Vue prot\u00e9g\u00e9e<\/a> prot\u00e8ge les fichiers suspects en changeant simplement le document en un fichier RTF (Rich Text Format), permettant ainsi au code inject\u00e9 d’\u00eatre ex\u00e9cut\u00e9 sans m\u00eame ouvrir le document via le Volet de pr\u00e9visualisation<\/a> dans l’Explorateur de fichiers Windows.<\/p>\n Alors que le bogue a suscit\u00e9 une large attention la semaine derni\u00e8re, les preuves indiquent l’exploitation active de la faille de l’outil de diagnostic dans des attaques r\u00e9elles ciblant les utilisateurs russes il y a plus d’un mois, le 12 avril 2022, lorsqu’elle a \u00e9t\u00e9 divulgu\u00e9e \u00e0 Microsoft.<\/p>\n La soci\u00e9t\u00e9, cependant, n’a pas consid\u00e9r\u00e9 qu’il s’agissait d’un probl\u00e8me de s\u00e9curit\u00e9 et a ferm\u00e9 le rapport de soumission de vuln\u00e9rabilit\u00e9, citant des raisons pour lesquelles l’utilitaire MSDT n\u00e9cessitait une passe-partout<\/a> fourni par un technicien de support avant de pouvoir ex\u00e9cuter des charges utiles.<\/p>\n La vuln\u00e9rabilit\u00e9 existe dans toutes les versions Windows actuellement prises en charge et peut \u00eatre exploit\u00e9e via les versions Microsoft Office Office 2013 \u00e0 Office 21 et les \u00e9ditions Office Professional Plus.<\/p>\n “Cette attaque \u00e9l\u00e9gante est con\u00e7ue pour contourner les produits de s\u00e9curit\u00e9 et passer inaper\u00e7ue en exploitant la fonctionnalit\u00e9 de mod\u00e8le \u00e0 distance de Microsoft Office et le protocole ms-msdt pour ex\u00e9cuter du code malveillant, le tout sans avoir besoin de macros”, a d\u00e9clar\u00e9 Jerome Segura de Malwarebytes. c’est not\u00e9<\/a>.<\/p>\n Bien qu’aucun correctif officiel ne soit disponible \u00e0 ce stade, Microsoft a recommand\u00e9 de d\u00e9sactiver le protocole d’URL MSDT pour emp\u00eacher le vecteur d’attaque. De plus, cela a \u00e9t\u00e9 inform\u00e9<\/a> pour d\u00e9sactiver le volet de pr\u00e9visualisation dans l’explorateur de fichiers.<\/p>\n “Ce qui distingue ‘Follina’, c’est que cet exploit ne tire pas parti des macros Office et, par cons\u00e9quent, il fonctionne m\u00eame dans des environnements o\u00f9 les macros ont \u00e9t\u00e9 enti\u00e8rement d\u00e9sactiv\u00e9es”, a d\u00e9clar\u00e9 Nikolas Cemerikic d’Immersive Labs.<\/p>\n “Tout ce qui est requis pour que l’exploit prenne effet est qu’un utilisateur ouvre et affiche le document Word, ou affiche un aper\u00e7u du document \u00e0 l’aide du volet de pr\u00e9visualisation de l’Explorateur Windows. \u00c9tant donn\u00e9 que ce dernier ne n\u00e9cessite pas le lancement complet de Word, cela est efficace devient une attaque sans clic.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/05\/Arret-de-loperation-Conti-Ransomware-apres-la-division-en-groupes.png\")
<\/a><\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/04\/1650021915_454_Haskers-Gang-donne-gratuitement-le-logiciel-malveillant-ZingoStealer-a-dautres.jpg\")
<\/a><\/div>\n