0 
0 Pesquisadores do Sophos Labs detectaram o uso de um novo exploit capaz de contornar um patch para uma vulnerabilidade crítica (CVE-2021-40444) que afeta o formato de arquivo do Microsoft Office.
Os atacantes pegaram uma exploração de prova de conceito disponível publicamente do Office e a armaram para entregar malware Formbook. Os atacantes então o distribuíram através de e-mails de spam por aproximadamente 36 horas antes de desaparecer.
Do CAB ao exploit “CAB-less” para contornar o patch para CVE-2021-40444
A vulnerabilidade CVE-2021-40444 é uma vulnerabilidade crítica de execução remota de código (RCE) que os invasores podem explorar para executar qualquer código ou comando em uma máquina de destino sem o conhecimento do proprietário. A Microsoft divulgou uma mitigação urgente seguida de um patch em setembro. Alguns dias depois, a empresa compartilhou como os atacantes têm explorado a falha para entregar cargas úteis personalizadas do Cobalt Strike.
Pesquisadores da Sophos encontraram a campanha de 36 horas com a nova façanha no final de outubro. Eles descobriram que os atacantes reformularam o exploit original colocando o documento malicioso do Word dentro de um arquivo RAR especialmente criado. A forma mais recente e “sem CAB” do exploit evita com sucesso o patch original.
Os dados de Sophos mostram que o exploit alterado foi usado na natureza por cerca de 36 horas. De acordo com os pesquisadores, a vida útil limitada do ataque atualizado pode significar que foi um experimento de “correção a seco” que pode retornar em incidentes futuros.
“Em teoria, essa abordagem de ataque não deveria ter funcionado, mas funcionou”, disse Andrew Brandt, pesquisador principal de ameaças da Sophos.
“As versões pré-patch do ataque envolveram código malicioso empacotado em um arquivo do Microsoft Cabinet. Quando o patch da Microsoft fechou essa brecha, os atacantes descobriram uma prova de conceito que mostrava como você poderia agrupar o malware em um formato de arquivo compactado diferente, um arquivo RAR. Os arquivos RAR já foram usados antes para distribuir código malicioso, mas o processo usado aqui foi excepcionalmente complicado. Provavelmente foi bem-sucedido apenas porque o mandato do patch foi definido de forma muito restrita e porque o programa WinRAR que os usuários precisam abrir o RAR é muito tolerante a falhas e não parece se importar se o arquivo estiver malformado, por exemplo, porque foi adulterado.”
A cadeia de infecção
Os pesquisadores descobriram que os invasores criaram um arquivo RAR anormal que tinha um script do PowerShell anexando um documento malicioso do Word armazenado dentro do arquivo.
Os invasores criaram e distribuíram e-mails de spam que incluíam o arquivo RAR malformado como anexo. Os e-mails convidaram os destinatários a descompactar o arquivo RAR para acessar o documento do Word. Abrir o documento do Word desencadeou um processo que executou o script front-end, levando eventualmente a uma infecção pelo malware Formbook.
“Esta pesquisa é um lembrete de que o patch por si só não pode proteger contra todas as vulnerabilidades em todos os casos”, disse Brandt.
“Definir restrições que impedem que um usuário acione acidentalmente um documento malicioso ajuda, mas as pessoas ainda podem ser atraídas para clicar no botão ‘ativar conteúdo’. Portanto, é de vital importância educar os funcionários e lembrá-los de suspeitar de documentos enviados por e-mail, especialmente quando chegam em formatos de arquivo compactados incomuns ou desconhecidos de pessoas ou empresas que não conhecem. Em caso de dúvida, sempre verifique com o remetente ou alguém em TI.”
Mais informações técnicas sobre o ataque foram compartilhadas nesta postagem do blog.
FONTE: HELPNET SECURITY