Los actores de amenazas comparten tutoriales y exploits de Windows MSHTML de día cero (CVE-2021-40444) en foros de piratería, lo que permite a otros piratas informáticos comenzar a explotar la nueva vulnerabilidad en sus propios ataques.

El martes pasado, Microsoft dio a conocer un nueva vulnerabilidad de día cero en Windows MSHTML que permite a los actores malintencionados crear documentos malintencionados, incluidos documentos de Office y RTF, para ejecutar comandos remotos en la computadora de la víctima.

Aunque no hay ninguna actualización de seguridad disponible para Vulnerabilidad CVE-2021-40444, como se descubrió que se usaba en ataques activos por EXPMON y Mandiant, Microsoft decidió revelar la vulnerabilidad y proporcionar medidas de mitigación para ayudar a prevenir su explotación.

Estas mitigaciones funcionan bloqueando los controles ActiveX y las vistas previas de documentos de Word / RTF en el Explorador de Windows.

Sin embargo, los investigadores pudieron modificar el exploit no utilice ActiveX, evitando eficazmente las mitigaciones de Microsoft.

Guías y PoC compartidos en foros de piratería

Cuando Microsoft reveló por primera vez el MSHTML de día cero de Windows, registrado como CVE-2021-40444, los investigadores de seguridad encontraron rápidamente los documentos maliciosos utilizados en los ataques.

Como pronto reprodujeron las hazañas, modificaron ellos para otras habilidades, y descubrió un nuevo vector de vista previa del documento, los investigadores no revelaron detalles por temor a que otros actores de amenazas pudieran abusar de ellos.

Desafortunadamente, los actores maliciosos pudieron reproducir el exploit por sí mismos a partir de información maliciosa y muestras de material publicadas en línea y comenzaron a compartir guías e información detalladas en los foros de piratería.

A partir del jueves, los actores de amenazas comenzaron a compartir información pública sobre el componente HTML del exploit y cómo crear el documento malicioso. El viernes, se publicaron más instrucciones sobre la generación de la carga útil y un archivo CAB que incluía el componente de vulnerabilidad de recorrido de ruta.

El sábado, cuando los investigadores comenzaron a publicar más detalles en Github y Twitter, los actores de amenazas compartieron más detalles sobre cómo generar todos los aspectos del exploit.

La información es fácil de seguir y permite a cualquiera crear su propia versión funcional del exploit CVE-2021-40444, incluido un servidor Python para distribuir documentos maliciosos y archivos CAB.

Con esta información, BleepingComputer podría reproducir el exploit en aproximadamente 15 minutos, como se muestra en el video a continuación.

Defensa contra la vulnerabilidad MSHTML CVE-2021-40444

La buena noticia es que desde que se reveló la vulnerabilidad, Microsoft Defender y otros programas de seguridad pueden detectar y bloquear documentos maliciosos y archivos CAB utilizados en este ataque.

Por ejemplo, a continuación puede ver a Microsoft Defender bloqueando el exploit como detecciones «Trojan: Win32 / CplLoader.a» y «TrojanDownloader: HTML / Donoff.SA».

Microsoft también ha proporcionado las siguientes mitigaciones para bloquear los controles ActiveX en Internet Explorer, el controlador predeterminado para el protocolo MSHTML, y para bloquear la vista previa del documento en el Explorador de Windows.

Deshabilitar los controles ActiveX en Internet Explorer

Para deshabilitar los controles ActiveX, siga estos pasos:

1. Abra el Bloc de notas y pegue el siguiente texto en un archivo de texto. Luego guarde el archivo como desactivar-activex.reg. Asegúrate de tener el mostrar extensiones de archivo habilitadas para crear correctamente el archivo de registro.

   Alternativamente, puede descargar el archivo de registro desde aquí.

   Windows Registry Editor Version 5.00
   
   [HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsCurrentVersionInternet SettingsZones]
   "1001"=dword:00000003
   "1004"=dword:00000003
   
   [HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsCurrentVersionInternet SettingsZones1]
   "1001"=dword:00000003
   "1004"=dword:00000003
   
   [HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsCurrentVersionInternet SettingsZones2]
   "1001"=dword:00000003
   "1004"=dword:00000003
   
   [HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsCurrentVersionInternet SettingsZones3]
   "1001"=dword:00000003
   "1004"=dword:00000003

2. Encuentra el recién creado desactivar-activex.reg y haga doble clic en él. Cuando aparezca un mensaje de UAC, haga clic en el sí botón para importar entradas de registro.
3. Reinicie su computadora para aplicar la nueva configuración.

Después de que su computadora se reinicie, los controles ActiveX se desactivarán en Internet Explorer.

Puede volver a habilitar los controles ActiveX eliminando las claves de registro anteriores o utilizando este Archivo de registro.

Deshabilitar la vista previa del documento en el Explorador de Windows

Los investigadores de seguridad también han descubierto que esta vulnerabilidad se puede aprovechar al ver un documento malicioso con la función de vista previa del Explorador de Windows.

CVE-2021-40444 es tan malo pic.twitter.com/3Gu9ahwmHd

– jq0904 (@ jq0904) 10 de septiembre de 2021

Desde que se descubrió esto, Microsoft ha agregado la siguiente mitigación para deshabilitar la vista previa de documentos RTF y Word:

1. En el editor de registro (regedit.exe), navegue hasta la clave de registro correspondiente:

   Para documentos de Word, vaya a estas claves:

   • HKEY_CLASSES_ROOT.docx ShellEx {8895b1c6-b41f-4c1c-a562-0d564250836f}
   • HKEY_CLASSES_ROOT.doc ShellEx {8895b1c6-b41f-4c1c-a562-0d564250836f}
   • HKEY_CLASSES_ROOT.docm ShellEx {8895b1c6-b41f-4c1c-a562-0d564250836f}

   Para archivos de texto enriquecido (RTF), navegue hasta esta tecla:

   • HKEY_CLASSES_ROOT.rtf ShellEx {8895b1c6-b41f-4c1c-a562-0d564250836f}
2. Exporte una copia de la clave de registro como copia de seguridad.
3. Ahora haga doble clic apellido y en el Editar canal cuadro de diálogo, elimine los datos del valor.
4. Haga clic en Correcto,

Las vistas previas de documentos de Word y archivos RTF ahora están deshabilitadas en el Explorador de Windows.

Para habilitar la vista previa del Explorador de Windows para estos documentos, haga doble clic en el archivo de respaldo .reg que creó en el paso 2 anterior.

Si bien estas mitigaciones son útiles porque el exploit se modificó para no usar controles ActiveX, los usuarios aún están en riesgo hasta que se publique una actualización de seguridad oficial.

Hasta que Microsoft publique una actualización de seguridad, todos deben tratar todos los archivos adjuntos de Word y RTF de manera sospechosa y verificar manualmente su fuente antes de abrirlos.

Actualización 9/12/21: Se agregó progresión en el tiempo para el lanzamiento de exploits.