Una vulnerabilidad de día cero de Windows recién numerada (CVE-2022-30190) se está explotando de forma muy agresiva a través de documentos de Office especialmente diseñados (sin macros). El lunes 30 de mayo de 2022, Microsoft emitió el boletín de seguridad CVE-2022-30190 con respecto a la herramienta de diagnóstico de soporte de Microsoft (MSDT). La vulnerabilidad se aprovecha mediante documentos de Word maliciosos que ejecutan comandos de PowerShell a través de MSDT. Abre la puerta a un nuevo vector de ataque crítico que aprovecha los programas de Microsoft Office, ya que funciona sin privilegios elevados, evita la detección de Windows Defender y no necesita código de macro para habilitarse para ejecutar archivos binarios o scripts. Luego, el atacante puede instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas en el contexto permitido por los derechos del usuario.

ATAQUES DETECTADOS

Los archivos de Office manipulados enviados por correo electrónico son una de las tácticas más comunes que utilizan los atacantes para comprometer los puntos finales, y constantemente encuentran nuevas formas de ocultar la naturaleza maliciosa de los documentos de las defensas de seguridad existentes, las soluciones y los usuarios/objetivos.

RECOMENDACIONES Y WORKAROUND

Microsoft recomienda lo siguiente en su último boletín para esta vulnerabilidad,

Deshabilitar el protocolo URL de MSDT.

Desactivación del protocolo URL de MSDT evita que los solucionadores de problemas se inicien como enlaces, incluidos enlaces en todo el sistema operativo. Aún se puede acceder a los solucionadores de problemas usando la aplicación Obtener ayuda y en la configuración del sistema como otros solucionadores de problemas adicionales. Siga estos pasos para desactivar:

1.     Run Command Prompt as Administrator.
2.     To back up the registry key, execute the command “reg export HKEY_CLASSES_ROOT\ms-msdt filename“
3.     Execute the command “reg delete HKEY_CLASSES_ROOT\ms-msdt /f”.
   
   

Cómo deshacer el workaround.

1.     Run Command Prompt as Administrator.
2.     To restore the registry key, execute the command “reg import filename”.