Wir sehen uns einer Sicherheitswarnung gegenüber, die die Erkennung der Follina-Schwachstelle (CVE-2022-30190) anzeigt. Ein schädliches Word-Dokument hat die Ausführung von msdt.exe ausgelöst, was auf eine mögliche Remote-Codeausführung auf dem Host JonasPRD hindeutet. Unsere Aufgabe ist es, die Warnung zu untersuchen, die Ausnutzung zu bestätigen, die Auswirkungen zu bewerten und Abhilfemaßnahmen zu empfehlen.
Uns liegt eine Sicherheitswarnung vor, die die Erkennung der Follina-Schwachstelle (CVE-2022-30190) anzeigt. Ein bösartiges Word-Dokument hat die Ausführung von msdt.exe ausgelöst, was auf eine mögliche Remote-Codeausführung auf dem Host JonasPRD hindeutet. Unsere Aufgabe ist es, den Alarm zu untersuchen, die Ausnutzung zu bestätigen, die Auswirkungen zu bewerten und Abhilfemaßnahmen zu empfehlen.
Am 2. Juni 2022 um 15:22 Uhr wurde eine Sicherheitswarnung ausgelöst, die durch die SOC173 - Follina 0-Day Detected SIEM-Regel ausgelöst wurde. Der Alarm betraf den Endpunkt namens 'JonasPRD' mit der IP-Adresse 172.16.17.39. Es wurde festgestellt, dass msdt.exe nach dem Öffnen eines Office-Dokuments auf diesem Host ausgeführt wurde. Der Alarm enthielt Details zur Datei, einschließlich ihres Hashwerts, und gab an, dass der Virenschutz die Aktion als erlaubt markierte, was bedeutet, dass die Datei weder blockiert noch unter Quarantäne gestellt wurde.
Follina (CVE-2022-30190) ist eine Windows-Sicherheitslücke, die das MSDT-Diagnosetool missbraucht: Ein manipuliertes Office-Dokument kann das ms-msdt:-Protokoll aufrufen, um msdt.exe zu starten und ohne Authentifizierung beliebige Befehle auf einem Rechner auszuführen. Es kann bereits durch das Öffnen oder manchmal durch die Vorschau einer bösartigen Word-Datei ausgelöst werden, sodass Angreifer Programme ausführen, zusätzliche Malware herunterladen oder Daten exfiltrieren können. Typische Anzeichen sind unerwartete msdt.exe-Prozesse, merkwürdige ausgehende Verbindungen oder neue Dateien/Dienste, die nach dem Öffnen eines Dokuments auftauchen. Patchen Sie Systeme, vermeiden Sie das Öffnen nicht vertrauenswürdiger Office-Dateien, deaktivieren Sie nach Möglichkeit die Dokumentenvorschau und suchen Sie nach dem Dokumenten-Hash und msdt.exe-Aktivitäten, um eine Kompromittierung zu erkennen.
Um meine Untersuchung zu beginnen, habe ich VirusTotal verwendet, um den Datei-Hash zu analysieren. Die Ergebnisse zeigten, dass 47 von 67 Anbietern die Datei als bösartig identifizierten, wobei mehrere Berichte einen Zusammenhang mit CVE-2022-30190 herstellten.
Zusätzlich vergibt OTX der Datei ein hohes Risiko von 9,2 und stuft sie als bösartig ein.
Eine Suche auf MalwareBazaar bestätigt, dass diese Datei in ihrem Malware-Repository vorhanden ist. Die Tags weisen darauf hin, dass sie mit CVE-2022-30190, follina, maldoc und msdt.exe in Verbindung gebracht wird.
Nach einer Analyse des Datei-Hashs unter Verwendung mehrerer Quellen kann ich bestätigen, dass er mit CVE-2022-30190 zusammenhängt. Den referenzierten Threat Intelligence zufolge entspricht dieser Hash einem bösartigen Dokument.
Durch die Isolierung der IP-Adresse des betroffenen Endpunkts habe ich sieben Protokolleinträge identifiziert, die mit dem Zeitrahmen des Vorfalls übereinstimmen. Sechs dieser Einträge zeigen ausgehende Anfragen an die markierte Domain „www[.]xmlformats[.]com.".
Ich habe auch den Netzwerkverkehr zur Ziel-IP-Adresse (141.105.65.149) zurückverfolgt und die Verbindung bestätigt.
Um meine Ergebnisse zu validieren, habe ich auch die E-Mail untersucht, die der Host erhalten hatte. Sie enthielt ein bösartiges Dokument, das eindeutig als Teil eines Phishing-Versuchs erstellt wurde. Ich habe sofort Maßnahmen zur Eindämmung der Bedrohung ergriffen, indem ich es vom Endpunkt entfernt habe.
Nach einer gründlichen Untersuchung des betroffenen Endpunkts habe ich beschlossen, das Gerät zu isolieren, um weitere Schäden zu verhindern. Bei der Überprüfung entdeckte ich das Vorhandensein des Prozesses msdt.exe, was die Notwendigkeit einer Isolierung und Eskalation an Level 2 für eine tiefergehende Analyse weiter bestätigte.
Die Beweise zeigen eine bestätigte Kompromittierung über CVE-2022-30190 (Follina), die in einer Phishing-E-Mail ausgeliefert wurde. Der Benutzer öffnete und führte das bösartige Word-Dokument aus. Die Analyse von Protokollen und der Datei ergab Verbindungen zur eingebetteten C2-IP und die Ausführung von Angreiferbefehlen auf dem Gerät. Der Vorfall wird an einen T2-SOC-Analysten eskaliert und der Endpunkt wird isoliert, um die Bedrohung einzudämmen und die Organisation zu schützen.
Vielen Dank fürs Lesen!
