imvihanga03/static-malware-analysis-follina-cve-2022-30190Análisis estático de malware de Follina (CVE-2022-30190) de Blue Team Labs Online
Laboratorio: Blue Team Labs Online – Desafío Follina
Tipo de Análisis: Análisis Estático
Herramientas Utilizadas: VirusTotal, Explorador de Archivos de Windows
Como parte de mi recorrido en el Blue Team, quería comprender a fondo los ataques reales basados en documentos.
Me topé con un documento sospechoso de Microsoft Word llamado sample.doc y decidí analizarlo estáticamente — sin ejecutar nunca el archivo.
Este informe documenta mi proceso completo de análisis estático, los descubrimientos clave y las importantes lecciones que aprendí sobre el famoso exploit Follina (CVE-2022-30190).
Comencé examinando el archivo en mi explorador de archivos.
sample.doc
Aunque parecía inofensivo, sabía que no debía abrirlo. Pasé directamente a la verificación de inteligencia de amenazas.
Subí el archivo a VirusTotal para obtener una imagen inmediata de su reputación.
Resultados clave:
4aa240481afbe9fb62e7a6a4a9adbd1faf41f266b5f9feecdeb567aec096784cve-2022-30190, exploit, calls-wmi
La alta tasa de detección y la etiqueta CVE me indicaron de inmediato que no se trataba de un simple virus de macros.
Exploré la pestaña Comportamiento para entender las técnicas que utiliza esta muestra.
Principales técnicas observadas:
Estas técnicas son señales clásicas de la cadena de ataque de Follina.
La parte más interesante estaba en la sección Relaciones → URLs Contactadas.
El documento intenta contactar dominios sospechosos bajo xmlformats.com (una clara suplantación de dominios legítimos de Microsoft) y solicita un archivo llamado RDF842l.html.
Esta es la característica distintiva del exploit Follina: usar relaciones XML externas para activar el protocolo ms-msdt:.
.rels son una señal de alerta que nunca debe ignorarse.Este fue mi primer laboratorio real de análisis de malware, y me enseñó lo sofisticados que se han vuelto los exploits modernos de documentos.
Ahora tengo una comprensión mucho mejor de cómo los atacantes evitan los controles de seguridad comunes y por qué el análisis estático es una habilidad tan importante para todo miembro del Blue Team.
Estoy emocionado de continuar este viaje y analizar muestras más complejas en el futuro.
🛡️ Vihanga | Aspirante a miembro del Blue Team
Connect with me on 