Was Sie über die Microsoft-Office-Zero-Day-Schwachstelle Follina wissen müssen

In der Cybersicherheitsbranche herrscht reges Treiben als Reaktion auf eine neue Zero-Day-Sicherheitslücke in Microsoft Office. Nach Angaben von Forschern wurde festgestellt, dass die Sicherheitslücke aktiv bei Angriffen ausgenutzt wird, die sowohl von Cyberkriminellen als auch von staatlich geförderten APT-Gruppen ausgehen.

Die Sicherheitslücke wurde Berichten zufolge entdeckt (öffnet in einem neuen Tab) auf 27. Mai 2022 vom Cybersicherheits-Forschungsteam Nao_sec, das die Zero-Day-Sicherheitslücke bei der Untersuchung eines seltsam anmutenden Word-Dokuments entdeckte, das in freier Wildbahn aufgefunden und von einer IP-Adresse in Weißrussland hochgeladen worden war. Es ist anzumerken, dass „Defender for Endpoint“ die Ausführung von Schadcode, der in den manipulierten Dokumenten enthalten war, nicht erkannt hat.

Was wir über CVE-2022-30190 wissen

Der Sicherheitsforscher Kevin Beaumont gehörte zu den Ersten, die diese Sicherheitslücke analysierten, die nun unter der Nummer CVE-2022-30190 erfasst ist. Laut Beaumont nutzen Exploits, die diese Sicherheitslücke ausnutzen, die Funktion „Remote-Vorlage“ in Microsoft Word aus. Beaumont nannte den Zero-Day-Exploit „Follina“, da die schädliche Datei auf die Zahl 0438 verweist – die Vorwahl des italienischen Dorfes Follina.

„Follina“ wurde ursprünglich als Zero-Day-Sicherheitslücke in Microsoft Office beschrieben, doch laut Microsoft betrifft sie tatsächlich das Microsoft Support Diagnostic Tool (MSDT), das Informationen erfasst, die an den Microsoft-Support übermittelt werden.

„Eine Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht, liegt vor, wenn MSDT über das URL-Protokoll von einer aufrufenden Anwendung wie beispielsweise Word aufgerufen wird. Ein Angreifer, dem es gelingt, diese Sicherheitslücke auszunutzen, kann beliebigen Code mit den Berechtigungen der aufrufenden Anwendung ausführen. „Der Angreifer kann dann Programme installieren, Daten einsehen, ändern oder löschen oder neue Konten im Rahmen der vom Benutzer gewährten Rechte erstellen“, erklärte Microsoft in seiner Sicherheitsmitteilung „ “ zu CVE-2022-30190 (wird in einem neuen Tab geöffnet).

Einer der bemerkenswertesten Aspekte der bekannten Exploits, die auf diese Sicherheitslücke abzielen, ist, dass die bislang beobachteten Angriffe – im Gegensatz zu den meisten Exploits und Phishing-Vorlagen, die missbräuchlich genutzte Microsoft-Office-Dokumente verwenden – nicht auf Makros beruhen; der Schadcode wird unabhängig davon ausgeführt, ob Makros deaktiviert sind oder nicht.

Hier sind einige weitere wichtige Erkenntnisse zu dieser Bedrohung:

• Die Word-Vorlagen, die als Schadcode dienen, befinden sich häufig auf Exchange-Servern, die einst für die „ProxyLogon“-Sicherheitslücke anfällig waren.
• In den Vorlagen werden häufig Abkürzungen wie „POC“ verwendet.
• Die Ziele sind für China von bekanntem strategischem Interesse.

Microsoft hat Leitlinien (wird in einem neuen Tab geöffnet) zu dieser Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht, veröffentlicht. Diese enthalten Abhilfemaßnahmen sowie Informationen zu neuen Defender-Updates, die darauf ausgelegt sind, mit dieser Bedrohung in Verbindung stehende Dateien und Verhaltensweisen zu erkennen und zu blockieren.

Die Sichtweise eines Cyber-Threat-Intelligence-Analysten bei Tanium

Als Erstes möchte das Cyber Threat Intelligence-Team darauf hinweisen – und diese Einschätzung wird von vielen der führenden Cybersicherheitsunternehmen der Branche geteilt –, dass die Forschung noch im Gange ist. Die Informationssicherheits-Community ist derzeit noch damit beschäftigt, die verschiedenen Aspekte der Sicherheitslücke sowie die darauf abzielenden Exploits zu testen und zu untersuchen, und viele dieser führenden Unternehmen hatten die Vernunft, ihre Kunden (und die Öffentlichkeit) einfach darüber zu informieren, dass sie noch nicht alles wissen. Viele von ihnen haben eingeräumt, widersprüchliche Informationen bezüglich der Bedrohung erhalten zu haben – insbesondere hinsichtlich der Frage, ob die neueste, vollständig gepatchte Version von Office365 für diese spezifische Art von Angriff anfällig ist.

Klar ist, dass es sich hierbei offenbar um eine erhebliche Bedrohung handelt. Die Tatsache, dass die Schwachstelle erst vor vier Tagen öffentlich bekannt gegeben wurde und wir dennoch bereits Exploit-Aktivitäten in freier Wildbahn beobachten konnten, unterstreicht nur, dass der Zeitraum zwischen der Offenlegung einer Zero-Day-Schwachstelle und dem Auftreten von Exploit-Aktivitäten von Jahr zu Jahr kürzer wird.

Wenn es bei all dem einen Lichtblick gibt (und mit „all dem“ meinen wir das immer kürzer werdende Zeitfenster zwischen der Offenlegung schwerwiegender Sicherheitslücken und deren anschließender Ausnutzung durch Kriminelle), dann ist es die Tatsache, dass Follina ein weiteres Paradebeispiel dafür ist, wie diese Branche – an ihren guten Tagen – mobilisieren, zusammenarbeiten und Abhilfemaßnahmen bzw. Workarounds in einer Reaktionszeit umsetzen kann, die früher als unmöglich schnell galt.

Wie Tanium Ihnen helfen kann

Derzeit gibt es keinen Patch für diese Sicherheitslücke. Microsoft hat Leitlinien veröffentlicht, und Tanium kann Ihnen dabei helfen, das Ausmaß der Anfälligkeit Ihres Unternehmens für diese Sicherheitslücke zu ermitteln, Sie auf das Verhaltensmuster des Exploits hinzuweisen sowie Abhilfemaßnahmen zu implementieren und deren Wirksamkeit zu überprüfen.

Tanium verfügt über mehrere Tools, mit denen Kunden schnell und einfach die von der Follina-Sicherheitslücke betroffenen Ressourcen ermitteln können.

Mit Tanium Interact lassen sich Systeme identifizieren, die unternehmensweit möglicherweise anfällig sind. Dies ermöglicht es den Einsatzkräften, Abfragen an ihre Endgeräte zu stellen und schnelle sowie umfassende Antworten zu erhalten.

Tanium Threat Response überwacht Endgeräte kontinuierlich auf verdächtige Aktivitäten, unabhängig davon, ob sie online oder offline sind. Derzeit steht den Kunden ein Tanium-Signal zur Verfügung, mit dem sie die Ausnutzung von CVE-2022-30190 erkennen können. Das Signal erkennt die Ausführung von „msdt.exe“ mit Befehlszeilenparametern, die auf den Exploit hindeuten, wie er von Malware erkannt und genutzt wird.

Unser Team für Cyber-Bedrohungsinformationen beobachtet diese Sicherheitslücke weiterhin und wird Sie über neue Entwicklungen auf dem Laufenden halten.

Informationen zu weiteren Sicherheitslücken finden Sie auf unserer Website „ “ unter den Rubriken „Emerging Issues“ (wird in einem neuen Tab geöffnet).