0 
0 Existem duas vulnerabilidades separadas em diferentes versões do Windows que permitem que invasores esguem anexos e arquivos maliciosos pelo recurso de segurança Mark of the Web (MOTW) da Microsoft.
Os invasores estão explorando ativamente os dois problemas, de acordo com Will Dormann, ex-analista de vulnerabilidades de software do CERT Coordination Center (CERT/CC) da Carnegie Mellon University, que descobriu os dois bugs. Mas até agora, a Microsoft não emitiu nenhuma correção para eles, e nenhuma solução conhecida está disponível para as organizações se protegerem, diz o pesquisador, que foi creditado por descobrir inúmeras vulnerabilidades de dia zero ao longo de sua carreira.
Proteções MotW para arquivos não confiáveis
MotW é um recurso do Windows projetado para proteger os usuários contra arquivos de fontes não confiáveis. A marca em si é uma marca oculta que o Windows anexa a arquivos baixados da Internet. Os arquivos que carregam a tag MotW são restritos no que fazem e como funcionam. Por exemplo, a partir do MS Office 10, os arquivos marcados com MotW são abertos por padrão no Modo de Exibição Protegido e os executáveis são examinados primeiro quanto a problemas de segurança pelo Windows Defender antes de serem executados.
“Muitos recursos de segurança do Windows – [como] Microsoft Office Protected view, SmartScreen, Smart App Control e [e] caixas de diálogo de aviso – dependem da presença do MotW para funcionar”, Dormann, que atualmente é analista sênior de vulnerabilidades da Analygence, diz Dark Reading.
Bug 1: Desvio MotW .ZIP, com patch não oficial
Dormann relatou o primeiro dos dois problemas de desvio do MotW para a Microsoft em 7 de julho. Segundo ele, o Windows não consegue aplicar o MotW a arquivos extraídos de arquivos .ZIP especificamente criados.
“Qualquer arquivo contido em um .ZIP pode ser configurado de forma que, quando extraído, não contenha marcações MOTW”, diz Dorman. “Isso permite que um invasor tenha um arquivo que funcionará de uma maneira que faz parecer que não veio da Internet”. Isso torna mais fácil para eles enganar os usuários para executar código arbitrário em seus sistemas, observa Dormann.
Dormann diz que não pode compartilhar detalhes do bug, porque isso revelaria como os invasores poderiam aproveitar a falha. Mas ele diz que isso afeta todas as versões do Windows a partir do XP. Ele diz que uma razão pela qual ele provavelmente não ouviu falar da Microsoft é porque a vulnerabilidade foi relatada a eles através do Vulnerability Information and Coordination Environment (VINCE) do CERT, uma plataforma que ele diz que a Microsoft se recusou a usar.
“Eu não trabalho no CERT desde o final de julho, então não posso dizer se a Microsoft tentou entrar em contato com o CERT de alguma forma a partir de julho”, ele adverte.
Dormann diz que outros pesquisadores de segurança relataram ter visto invasores explorando ativamente a falha. Um deles é o pesquisador de segurança Kevin Beaumont, ex-analista de inteligência de ameaças da Microsoft. Em um tweet no início deste mês, Beaumont relatou a falha como sendo explorada em estado selvagem.
“Este é sem dúvida o dia zero mais idiota em que trabalhei “, disse Beaumont.
Em um tweet separado um dia depois, Beaumont disse que queria divulgar orientações de detecção para o problema, mas estava preocupado com as possíveis consequências.
“Se o Emotet/Qakbot/etc o encontrarem, eles o usarão 100% em escala”, alertou.
A Microsoft não respondeu a duas solicitações do Dark Reading pedindo comentários sobre as vulnerabilidades relatadas por Dormann ou se tinha planos para resolvê-las, mas a empresa de segurança Acros Security, com sede na Eslovênia, lançou na semana passada um patch não oficial para essa primeira vulnerabilidade por meio de sua plataforma de correção 0patch.
Em comentários ao Dark Reading, Mitja Kolsek, CEO e cofundadora da 0patch e da Acros Security, diz que conseguiu confirmar a vulnerabilidade que Dormann relatou à Microsoft em julho.
“Sim, é ridiculamente óbvio quando você sabe. É por isso que não queremos revelar nenhum detalhe”, diz ele. Ele diz que o código que executa a descompactação de arquivos .ZIP é falho e apenas um patch de código pode corrigir isso. “Não há soluções alternativas”, diz Kolsek.
Kolsek diz que o problema não é difícil de explorar, mas acrescenta que a vulnerabilidade por si só não é suficiente para um ataque bem-sucedido. Para explorar com sucesso, um invasor ainda precisa convencer um usuário a abrir um arquivo em um arquivo .ZIP mal-intencionado — enviado como anexo por um e-mail de phishing ou copiado de uma unidade removível, como um pendrive, por exemplo.
“Normalmente, todos os arquivos extraídos de um arquivo .ZIP marcado com MotW também receberiam essa marca e, portanto, acionariam um aviso de segurança quando abertos ou lançados”, diz ele, mas a vulnerabilidade definitivamente permite que os invasores ignorem a proteção. “Não temos conhecimento de quaisquer circunstâncias atenuantes”, acrescenta.
Bug 2: Esgueirando-se pelo MotW com assinaturas de Authenticode corrompidas
A segunda vulnerabilidade envolve o manuseio de arquivos marcados com MotW que possuem assinaturas digitais Authenticode corrompidas. Authenticode é uma tecnologia de assinatura de código da Microsoft que autentica a identidade do editor de um determinado software e determina se o software foi adulterado após sua publicação.
Dormann diz que descobriu que se um arquivo tiver uma assinatura Authenticode malformada, ele será tratado pelo Windows como se não tivesse MotW; a vulnerabilidade faz com que o Windows ignore o SmartScreen e outras caixas de diálogo de aviso antes de executar um arquivo JavaScript.
“O Windows parece ‘falhar ao abrir’ quando encontra um erro [ao] processar dados do Authenticode”, diz Dormann, e “não aplicará mais proteções MotW aos arquivos assinados pelo Authenticode, apesar de eles ainda manterem o MotW”.
Dormann descreve o problema como afetando todas as versões do Windows a partir da versão 10, incluindo a variante de servidor do Windows Server 2016. A vulnerabilidade oferece aos invasores uma maneira de assinar qualquer arquivo que possa ser assinado pelo Authenticode de maneira corrompida — como arquivos .exe e arquivos JavaScript — e esgueirar-se pelas proteções MOTW.
Dormann diz que soube do problema depois de ler um blog da HP Threat Research no início deste mês sobre uma campanha de ransomware Magniber envolvendo uma exploração para a falha.
Não está claro se a Microsoft está tomando medidas, mas, por enquanto, os pesquisadores continuam a alertar. “Não recebi uma resposta oficial da Microsoft, mas, ao mesmo tempo, não relatei oficialmente o problema à Microsoft, pois não sou mais um funcionário do CERT”, diz Dormann. “Eu anunciei publicamente via Twitter, devido à vulnerabilidade que está sendo usada por invasores em estado selvagem”.
FONTE: DARK READING