Una campaña reciente de phishing utiliza archivos adjuntos HTML que explotan el protocolo de búsqueda de Windows (URI search-ms) para distribuir malware. El protocolo de búsqueda de Windows permite a las aplicaciones abrir el Explorador de Windows para realizar búsquedas con parámetros específicos.
Exploit del protocolo URI search-ms
Los atacantes pueden aprovechar esta funcionalidad para compartir archivos maliciosos en servidores remotos. Esta técnica fue destacada por primera vez en una tesis de 2020 del profesor Dr. Martin Johns.
En junio de 2022, investigadores de seguridad desarrollaron una cadena de ataque que explotaba una vulnerabilidad en Microsoft Office para lanzar búsquedas directamente desde documentos de Word. Investigadores de Trustwave SpiderLabs informan que actores maliciosos están utilizando archivos adjuntos HTML para iniciar búsquedas de Windows en los servidores de los atacantes.
Metodología del ataque
Los ataques recientes comienzan con un correo electrónico malicioso que lleva un archivo adjunto HTML disfrazado como un documento de factura dentro de un archivo ZIP. El archivo ZIP ayuda a evadir los escáneres de seguridad que pueden no analizar archivos comprimidos en busca de contenido malicioso.
El archivo HTML utiliza la etiqueta para hacer que el navegador abra automáticamente una URL maliciosa cuando se abre el documento HTML. Si esta meta-refresh falla, una etiqueta de anclaje proporciona un enlace clicable a la URL maliciosa como mecanismo de respaldo, requiriendo la acción del usuario.
Funcionamiento de la URL maliciosa
La URL apunta al protocolo de búsqueda de Windows para realizar una búsqueda en un host remoto utilizando los siguientes parámetros: Query, Crumb, Displayname y Location. La búsqueda recupera la lista de archivos del servidor remoto, mostrando un único archivo de acceso directo (LNK) nombrado como una factura. Si la víctima hace clic en el archivo, se activa un script por lotes (BAT) alojado en el mismo servidor.
Mitigaciones recomendadas
- Eliminar las entradas de registro asociadas con el protocolo URI search-ms/search ejecutando los siguientes comandos: reg delete HKEY_CLASSES_ROOT\search /f y reg delete HKEY_CLASSES_ROOT\search-ms /f.
- Sin embargo, esto debe hacerse con cuidado, ya que también impediría que aplicaciones legítimas y funciones integradas de Windows que dependen de este protocolo funcionen correctamente.