Microsoft reveló una vulnerabilidad de seguridad Zero-Day que afecta a varios productos de Windows y Office. Esta falla está siendo explotada activamente para permitir la ejecución remota de código mediante documentos maliciosos de Office.
Detalles técnicos de la vulnerabilidad
La vulnerabilidad, registrada como CVE-2023-36884, permite a los atacantes no autenticados explotarla en ataques de alta complejidad sin necesidad de interacción del usuario. Una explotación exitosa podría llevar a la pérdida total de confidencialidad, disponibilidad e integridad, permitiendo a los atacantes acceder a información sensible, desactivar protecciones y denegar el acceso al sistema comprometido.
Un atacante podría crear un documento de Microsoft Office especialmente diseñado que le permita realizar la ejecución remota de código en el contexto de la víctima. Sin embargo, el ataque requiere que la víctima abra el archivo malicioso.
Solución y mitigación
Microsoft indica que proporcionará parches a través del proceso de lanzamiento mensual o una actualización fuera de banda. Hasta que los parches estén disponibles, se recomienda a los usuarios que usen Defender para Office y hayan habilitado la regla de reducción de superficie de ataque (ASR) «Bloquear todas las aplicaciones de Office para que no creen procesos secundarios».
Los usuarios que no utilicen estas protecciones pueden agregar los siguientes nombres de aplicación a la clave de registro:
- excel.exe
- Graph.exe
- MSAccess.exe
- MSPub.exe
- PowerPoint.exe
- Visio.exe
- WinProj.exe
- winword.exe
- wordpad.exe
Es importante tener en cuenta que configurar esta clave de registro puede afectar algunas funciones de Microsoft Office vinculadas a las aplicaciones mencionadas.
Ataques explotados contra asistentes a la Cumbre de la OTAN
El error CVE-2023-36884 fue explotado en ataques recientes dirigidos a organizaciones que asistieron a la Cumbre de la OTAN en Vilnius, Lituania. Los atacantes utilizaron documentos maliciosos que se hacían pasar por la organización del Congreso Mundial de Ucrania para instalar cargas útiles de malware, incluido el cargador MagicSpell y la puerta trasera RomCom.
Según los investigadores de seguridad de BlackBerry, si se explota con éxito, permite que un atacante realice un ataque basado en ejecución remota de código (RCE) a través de la elaboración de un documento .DOCX o .RTF malicioso diseñado para explotar la vulnerabilidad. Esto se logra aprovechando el documento especialmente diseñado para ejecutar una versión vulnerable de MSDT, que permite al atacante pasar un comando a la utilidad para su ejecución.
Enlaces de RomCom al ransomware
RomCom es un grupo de ciberdelincuentes con sede en Rusia (también conocido como Storm-0978) que participa en ataques de ransomware y extorsión, así como en campañas centradas en el robo de credenciales, probablemente destinadas a respaldar operaciones de inteligencia.
La pandilla estuvo anteriormente vinculada a la operación de ransomware Industrial Spy, que ahora ha cambiado a ransomware llamado Underground. En mayo de 2022, MalwareHunterTeam descubrió una asociación peculiar con la operación de ransomware Cuba. Observó que una muestra del ransomware Industrial Spy generó una nota de rescate con una ID TOX y una dirección de correo electrónico idénticas a las utilizadas por Cuba, así como enlaces al sitio de fuga de datos de Cuba.
El enlace proporcionado conducía al sitio Tor de Cuba Ransomware. Además, la nota de rescate usaba el mismo nombre de archivo, !!READ ME !!.txt, tal como se identificaron previamente las notas de rescate de Cuba.