Le secteur de la cybersécurité est en effervescence suite à la découverte d'une nouvelle vulnérabilité « zero-day » dans Microsoft Office. Selon les chercheurs, cette faille de sécurité a été observée comme étant activement exploitée dans le cadre d'attaques menées tant par des cybercriminels que par des groupes APT soutenus par des États.
Cette faille aurait été découverte (s'ouvre dans un nouvel onglet) sur 27 mai 2022 par l'équipe de recherche en cybersécurité Nao_sec, qui a identifié cette faille « zero-day » lors de l'analyse d'un document Word d'aspect suspect, découvert dans la nature et mis en ligne depuis une adresse IP située en Biélorussie. Il convient de noter que Defender for Endpoint n'a pas détecté l'exécution du code malveillant contenu dans les documents infectés.
Ce que nous savons sur la CVE-2022-30190
Le chercheur en sécurité Kevin Beaumont a été l'un des premiers à analyser cette faille de sécurité, désormais référencée sous le numéro CVE-2022-30190. Selon M. Beaumont, les exploits tirant parti de cette faille exploitent la fonctionnalité de modèle à distance de Microsoft Word. Beaumont a baptisé cette faille « Follina », car le fichier malveillant fait référence au chiffre 0438 , qui correspond à l'indicatif téléphonique du village italien de Follina.
Follina a d'abord été décrite comme une vulnérabilité « zero-day » de Microsoft Office, mais Microsoft précise qu'elle affecte en réalité l'outil de diagnostic du support technique Microsoft (MSDT), qui recueille des informations transmises au support technique de Microsoft.
« Une vulnérabilité permettant l'exécution de code à distance existe lorsque MSDT est appelé via le protocole URL à partir d'une application appelante telle que Word. » Un attaquant qui parvient à exploiter cette vulnérabilité peut exécuter du code arbitraire avec les privilèges de l'application appelante. « L'attaquant peut alors installer des programmes, consulter, modifier ou supprimer des données, ou encore créer de nouveaux comptes dans les limites autorisées par les droits de l'utilisateur », a expliqué Microsoft dans son avis « » concernant le CVE-2022-30190 (s'ouvre dans un nouvel onglet).
L'un des aspects les plus remarquables des exploits connus conçus pour exploiter cette faille réside dans le fait que, contrairement à la plupart des exploits et des modèles de hameçonnage utilisant des documents Microsoft Office piratés, les attaques observées à ce jour ne reposent pas sur des macros — et le code malveillant s'exécute, que les macros soient désactivées ou non.
Voici quelques autres points clés à retenir concernant cette menace :
- Les fichiers Word contenant des charges utiles se trouvent souvent sur des serveurs Exchange qui ont déjà été exposés à la faille ProxyLogon.
- Ces modèles utilisent souvent des expressions telles que « POC ».
- Ces cibles présentent un intérêt stratégique avéré pour la Chine.
Microsoft a publié des recommandations (s'ouvre dans un nouvel onglet) concernant cette vulnérabilité permettant l'exécution de code à distance, notamment des solutions de contournement et des informations sur les nouvelles mises à jour de Defender destinées à détecter et à bloquer les fichiers et les comportements associés à cette menace.
Le point de vue d'un analyste spécialisé dans le renseignement sur les cybermenaces chez Tanium
La première chose que l'équipe chargée du renseignement sur les cybermenaces tient à souligner — et ce point de vue est partagé par de nombreuses entreprises de cybersécurité de premier plan du secteur —, c'est que les recherches se poursuivent. La communauté de la sécurité informatique continue actuellement à tester et à analyser les différents aspects de cette vulnérabilité ainsi que les exploits conçus pour l'exploiter, et bon nombre de ces grandes entreprises ont eu la sagesse de se contenter d'informer leurs clients (et le grand public) qu'elles ne disposaient pas encore de toutes les informations nécessaires. Beaucoup d'entre eux ont admis avoir reçu des informations contradictoires concernant cette menace — notamment quant à savoir si la dernière version de la Office365 , entièrement mise à jour, est vulnérable à ce type d'attaque spécifique.
Ce qui est clair, c'est que cela semble constituer une menace importante. Le fait que cette vulnérabilité n'ait été rendue publique qu'il y a quatre jours et que nous ayons pourtant déjà constaté des attaques exploitant cette faille dans la nature ne fait que souligner que le délai entre la divulgation d'une vulnérabilité « zero-day » et le début des attaques diminue d'année en année.
S’il y a un côté positif à tout cela (et par « tout cela », nous faisons référence au délai de plus en plus court entre la divulgation de failles de sécurité graves et leur exploitation ultérieure par les pirates), c’est que Follina constitue un autre excellent exemple de la manière dont ce secteur — lorsqu’il est au meilleur de sa forme — peut se mobiliser, collaborer et mettre en place des mesures d’atténuation ou des solutions de contournement dans un délai qui était autrefois considéré comme impossible à tenir.
Comment Tanium peut vous aider
À l'heure actuelle, il n'existe aucun correctif pour cette vulnérabilité. Microsoft a publié des recommandations, et Tanium peut vous aider à évaluer l'exposition de votre organisation à cette vulnérabilité, à vous alerter sur les schémas de comportement des attaques, ainsi qu'à déployer les mesures d'atténuation et à en valider l'efficacité.
Tanium propose plusieurs outils permettant à ses clients d'identifier rapidement et facilement les ressources affectées par la vulnérabilité Follina.
Tanium Interact permet d'identifier les systèmes susceptibles d'être vulnérables au sein de l'entreprise. Cela permet aux intervenants de poser des questions à leurs terminaux et d'obtenir des réponses rapides et complètes.
Tanium Threat Response surveille en permanence les terminaux afin de détecter toute activité suspecte, que ce soit en ligne ou hors ligne. Un « Tanium Signal » est actuellement à la disposition des clients pour détecter toute tentative d'exploitation de la vulnérabilité CVE-2022-30190. Ce signal détecte l'exécution du fichier msdt.exe avec des paramètres de ligne de commande caractéristiques de l'exploit tel qu'il est utilisé par les logiciels malveillants.
Notre équipe chargée du renseignement sur les cybermenaces continue de surveiller cette vulnérabilité et vous tiendra informés de toute évolution.
Pour plus d'informations sur d'autres vulnérabilités, consultez nos ressources « » (Problèmes émergents) : (s'ouvre dans un nouvel onglet),et .
