CVE-2022-30190 (Follina)

शैक्षिक मैलवेयर विकास, शोषण, विश्लेषण और शमन

एक पूरी तरह से प्रलेखित प्रूफ-ऑफ-कॉन्सेप्ट जो फॉलिना भेद्यता का प्रदर्शन करता है - सोशल इंजीनियरिंग डिलीवरी से लेकर शोषण, फोरेंसिक विश्लेषण और पैच विकास तक।

⚠️ केवल शैक्षिक उपयोग। इस रिपॉजिटरी में सभी गतिविधियां विशेष रूप से SLIIT में IE4012 आक्रामक हैकिंग रणनीति और रणनीति मॉड्यूल के भाग के रूप में एक पृथक वर्चुअल मशीन प्रयोगशाला वातावरण में आयोजित की गईं। नियंत्रित प्रयोगशाला के बाहर कुछ भी उपयोग न करें। वास्तविक सिस्टम या नेटवर्क के विरुद्ध परीक्षण न करें।

📋 अवलोकन

CVE-2022-30190, जिसे Follina उपनाम दिया गया है, Microsoft सपोर्ट डायग्नोस्टिक टूल (MSDT) में एक रिमोट कोड निष्पादन भेद्यता है। इसे 30 मई 2022 को सार्वजनिक रूप से प्रकट किया गया था और इसे 7.8 (उच्च) का CVSS स्कोर दिया गया था। जब कोई पीड़ित एक विशेष रूप से तैयार Microsoft Office दस्तावेज़ खोलता है तो शोषण होता है - किसी मैक्रो की आवश्यकता नहीं है। दस्तावेज़ हमलावर-नियंत्रित HTTP सर्वर से एक HTML पेलोड लाता है, जो ms-msdt: URI प्रोटोकॉल हैंडलर को आमंत्रित करता है और PCWDiagnostic तर्क के माध्यम से सिस्टम को मनमाने आदेश पास करता है।

🗂️ रिपॉजिटरी संरचना

SourceCode.zip/
├── PoC.py                                  # मुख्य शोषण स्क्रिप्ट
├── patch.py                                # शमन पैच स्क्रिप्ट
├── Invoice_FS-2026-8821_OVERDUE.docx       # उत्पन्न दुर्भावनापूर्ण Word दस्तावेज़
└── doc/                                    # docx से निकाले गए आंतरिक XML फ़ाइलें
    ├── word/
    │   ├── document.xml                    # मुख्य दस्तावेज़ बॉडी
    │   └── _rels/
    │       └── document.xml.rels           # हमलावर सर्वर की ओर इशारा करते हुए बाहरी OLE संदर्भ
    └── [Content_Types].xml

🚀 यह कैसे काम करता है

चरण 1 - सोशल इंजीनियरिंग डिलीवरी

लालच एक फ़िशिंग ईमेल है जो FinanceSync नामक बिलिंग प्लेटफ़ॉर्म का प्रतिरूपण करता है, जो एक चालान देय होने का दावा करता है। अटैचमेंट एक पासवर्ड-संरक्षित ज़िप संग्रह (Invoice.zip) है जिसमें दुर्भावनापूर्ण Word दस्तावेज़ है। एन्क्रिप्टेड संग्रह का उपयोग करने से अधिकांश ईमेल गेटवे स्कैनर को दरकिनार कर दिया जाता है क्योंकि सामग्री का निरीक्षण नहीं किया जा सकता है।

चरण 2 - शोषण श्रृंखला

• PoC.py Invoice_FS-2026-8821_OVERDUE.docx उत्पन्न करता है और पोर्ट 8000 पर एक HTTP सर्वर शुरू करता है
• दस्तावेज़ में word/_rels/document.xml.rels में http://<attacker_ip>:8000/index.html की ओर इशारा करते हुए एक बाहरी OLE संदर्भ है
• जब पीड़ित दस्तावेज़ खोलता है, तो Word स्वचालित रूप से HTML पेलोड लाता है - कोई उपयोगकर्ता संकेत नहीं, कोई मैक्रो नहीं
• HTML पेलोड में एक हार्डकोडेड ट्रिगर तिथि (2026-03-25) के विरुद्ध एक JavaScript तिथि जांच होती है। यदि तिथि की शर्त पूरी नहीं होती है, तो कुछ भी निष्पादित नहीं होता है
• एक बार शर्त पारित होने पर, ms-msdt: URI को एक PCWDiagnostic तर्क के साथ फायर किया जाता है जिसमें एक cmd.exe कमांड होता है
• प्रक्रिया श्रृंखला WINWORD.EXE → msdt.exe → cmd.exe निष्पादित होती है और समझौते के प्रमाण के रूप में sys_cache.dat को C:\Users\Public\ में लिखती है

चरण 3 - पैच

patch.py Windows रजिस्ट्री से ms-msdt URI प्रोटोकॉल हैंडलर को हटाता है, URI रिज़ॉल्यूशन चरण में शोषण श्रृंखला को तोड़ता है, इससे पहले कि कोई हमलावर-नियंत्रित तर्क MSDT तक पहुंच सके।

⚙️ उपयोग

आवश्यक शर्तें

हमलावर मशीन (Kali Linux)

• Python 3

पीड़ित मशीन (Windows 10)

• Microsoft Office स्थापित (अपैच्ड बिल्ड)
• ms-msdt रजिस्ट्री कुंजी HKEY_CLASSES_ROOT के अंतर्गत मौजूद
• सिस्टम तिथि 2026-03-25 या बाद की सेट

PoC चलाना

# हमलावर मशीन पर
python3 PoC.py

स्क्रिप्ट Word दस्तावेज़ उत्पन्न करती है और HTTP सर्वर शुरू करती है। दस्तावेज़ को पीड़ित VM में स्थानांतरित करें और इसे खोलें। हमलावर टर्मिनल Word से आने वाले अनुरोध को लॉग करेगा।

पैच चलाना

पैच स्क्रिप्ट को Windows पीड़ित VM पर प्रशासक के रूप में चलाया जाना चाहिए।

# वर्तमान स्थिति जांचें
python patch.py --status

# पैच लागू करें (ms-msdt रजिस्ट्री कुंजी हटाता है)
python patch.py --apply

# पिछली असुरक्षित स्थिति में वापस जाएं (पुनः परीक्षण के लिए)
python patch.py --rollback

🔬 भेद्यता विवरण

🛡️ पैच प्रभावशीलता

🧠 प्रयोगशाला वातावरण

दोनों VMs इंटरनेट एक्सेस के बिना VirtualBox होस्ट-ओनली नेटवर्क के माध्यम से जुड़े हुए थे।