En las computadoras con Windows usamos varios productos de Microsoft. Por eso existe una herramienta llamada MSDT (Microsoft Support Diagnostic Tool). Un investigador de seguridad cibernética «Kevin Beaumont» lo encontró en MSDT (ya se estaba usando) e informó al respecto. Lo nombró «Follina«. Aprendamos al respecto.
La herramienta de diagnóstico de soporte de Microsoft (MSDT) recopila información para enviar al soporte de Microsoft. Luego, el soporte de Microsoft analiza la información recopilada y la usa para resolver cualquier problema que podamos estar teniendo en nuestra computadora. Básicamente recopila datos de nuestro sistema y los envía al soporte de Microsoft. Es el asistente de solución de problemas de diagnóstico de Microsoft. Ha existido como herramienta instalada en «C:\Windows\System32» desde Windows 7.
Microsoft acepta que una nueva falla RCE (Ejecución remota de código) de día cero en su aplicación MSDT. Que nombró a Follina.
Follina es una vulnerabilidad de ejecución remota de código que existe cuando se llama a MSDT mediante el protocolo URL desde una aplicación de llamada como Word. Un atacante que aproveche con éxito esta vulnerabilidad puede ejecutar código arbitrario con los privilegios de la aplicación que realiza la llamada. Luego, el atacante puede instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas en el contexto permitido por los derechos del usuario.
El atacante puede acceder a los privilegios de usuario con cualquier aplicación o incluso shell. El atacante puede instalar programas, ver, cambiar, eliminar datos o crear nuevas cuentas con el privilegio de usuario. El número CVE de Follina es CVE-2022-30190.
Detengamos la discusión aquí, ahora pasemos al uso práctico de este exploit.
Como aprendimos, esta es una vulnerabilidad de MSDT (Herramienta de diagnóstico de soporte de Microsoft). Eso significa que el sistema Microsoft Windows se verá afectado, por lo que necesitamos un sistema Windows en nuestro VirtualBox y vamos a usar nuestro Kali Linux como máquina atacante.
Ahora en nuestra caja atacante (Kali Linux) necesitamos clonar de John Hammond Repositorio Follina de GitHub aplicando el siguiente comando:
En la siguiente captura de pantalla podemos ver la salida del siguiente comando.
Ahora necesitamos movernos a nuestro directorio recién clonado usando el siguiente comando:
Ahora aquí solo tenemos que aplicar el siguiente comando:
En el comando anterior, XXXX es nuestra dirección IP. Ahora, en la siguiente captura de pantalla, podemos ver que nuestro archivo doc malicioso se crea y comienza a escuchar su carga HTML en el puerto 8000.
Ahora podemos ver el archivo malicioso en nuestros Archivos (dentro msdt-follina directorio), como podemos ver en la siguiente captura de pantalla:
Necesitamos enviarlo al sistema Windows de nuestro objetivo. Aquí podemos aplicar nuestras técnicas de ingeniería social para enganchar a nuestro target. Podemos enviarlo por correo o enviar SMS con un enlace de descarga de un archivo DOC malicioso. Lo alojamos en nuestro almacenamiento en la nube descentralizado. (Para usarlo externamente, necesitamos usar nuestra IP externa y reenviar el puerto requerido).
Cada vez que nuestro sistema Windows de destino lo abre y hace clic en «Habilitar edición» en MS Word (la versión anterior de MS Office no requiere esto, podemos obtenerlos directamente), obtenemos una conexión inversa en nuestro Kali Linux, como podemos ver en la siguiente captura de pantalla:
Por defecto, el script de John solo abre la aplicación Calculadora en Windows
Pero puede hacer mucho más si creamos la carga usando el siguiente comando, incluso podemos obtener shell:
En el comando anterior, usamos el puerto 7777 para hacer la conexión con la carga útil, podemos usar cualquier puerto que no use aquí.
El comando anterior creará una carga útil de Netcat e iniciará el oyente, y creará un archivo DOC en el msdt-follina directorio. Después de que nuestro objetivo haga clic en «Habilitar edición», obtuvimos shell en la conexión inversa, como podemos ver en la siguiente captura de pantalla:
Ahora podemos hacer cualquier cosa que el usuario de la computadora víctima pueda hacer. Es poco probable que esta vulnerabilidad se repare durante al menos la semana pasada. Nuestro artículo está inspirado en el video de YouTube de nuestro amigo NetworkChuk, podemos ver su siguiente video (hicimos algunos cambios para evitar errores):
Advertencia:- Este artículo es solo para fines educativos. Lo hicimos en nuestro propio sistema y no dañamos a nadie. Haga las cosas en su propio sistema y nunca comprometa el sistema de otros sin las premoniciones escritas adecuadas. No apoyamos ninguna actividad ilegal.
Microsoft publicó un artículo adecuado que muestra cómo podemos estar a salvo del exploit Follina. Pero como sabemos antes que nada, no necesitamos abrir enlaces o archivos sospechosos de Internet. Las cosas podrían ser peores de lo que pensamos porque puede haber muchos exploits de día cero que no conocemos. Tenga cuidado, esté seguro.
¿Te encantan nuestros artículos? Asegurate que Síganos en Gorjeo y GitHub, publicamos actualizaciones de artículos allí. para unirse a nuestro KaliLinuxEn familia, únete a nuestra Grupo de telegramas. Estamos tratando de construir una comunidad para Linux y Ciberseguridad. Para cualquier cosa, siempre estamos felices de ayudar a todos en el sección de comentarios. Como sabemos, nuestra sección de comentarios siempre está abierta a todos. Leemos todos y cada uno de los comentarios y siempre respondemos.
