Siamo di fronte a un alert di sicurezza che segnala il rilevamento della vulnerabilità Follina (CVE-2022-30190). Un documento Word malintenzionato ha attivato l'esecuzione di msdt.exe, suggerendo una possibile esecuzione remota di codice sull'host JonasPRD. Il nostro compito è investigare l'alert, confermare lo sfruttamento, valutare l'impatto e raccomandare le azioni correttive.
Ci viene presentato un avviso di sicurezza che indica il rilevamento della vulnerabilità Follina (CVE-2022-30190). Un documento Word dannoso ha attivato l'esecuzione di msdt.exe, suggerendo una possibile esecuzione di codice remoto sull'host JonasPRD. Il nostro compito è investigare l'avviso, confermare lo sfruttamento, valutare l'impatto e raccomandare la remediation.
Alle 15:22 del 2 giugno 2022 è stato generato un avviso di sicurezza, attivato dalla regola SIEM SOC173 - Follina 0-Day Detected. L'avviso riguardava l'endpoint denominato 'JonasPRD', con indirizzo IP 172.16.17.39. È stato identificato che msdt.exe è stato eseguito dopo l'apertura di un documento Office su questo host. L'avviso forniva i dettagli del file, inclusi il suo hash, e indicava che l'antivirus ha contrassegnato l'azione come consentita, il che significa che il file non è stato né bloccato né messo in quarantena.
Follina (CVE-2022-30190) è una vulnerabilità di Windows che abusa dello strumento diagnostico MSDT: un documento Office appositamente creato può chiamare il protocollo ms-msdt: per avviare msdt.exe ed eseguire comandi arbitrari su una macchina senza autenticazione. Può essere attivata semplicemente aprendo o talvolta visualizzando in anteprima un file Word dannoso, consentendo agli aggressori di eseguire programmi, scaricare malware aggiuntivo o esfiltrare dati. Segni tipici includono processi msdt.exe inaspettati, connessioni in uscita strane o nuovi file/servizi che appaiono dopo l'apertura di un documento. Applicare patch, evitare di aprire file Office non affidabili, disabilitare l'anteprima dei documenti quando possibile e cercare l'hash del documento e l'attività di msdt.exe per rilevare compromissioni.
Per iniziare la mia indagine, ho utilizzato VirusTotal per analizzare l'hash del file. I risultati hanno mostrato che 47 su 67 vendor hanno identificato il file come dannoso, con diversi report che lo collegano a CVE-2022-30190.
Inoltre, OTX assegna al file un punteggio di rischio elevato di 9,2, classificandolo come dannoso.
Una ricerca su MalwareBazaar conferma che questo file è presente nel loro repository di malware. In particolare, i tag indicano che è associato a CVE-2022-30190, follina, maldoc e msdt.exe.
Effettuata un'analisi dell'hash del file utilizzando più fonti, posso confermare che è associato a CVE-2022-30190. Secondo l'intelligence sulle minacce consultata, questo hash corrisponde a un documento dannoso.
Isolando l'indirizzo IP dell'endpoint interessato, ho identificato sette voci di log che corrispondono alla finestra temporale dell'incidente. Sei di queste voci mostrano richieste in uscita verso il dominio segnalato "www[.]xmlformats[.]com".
Ho anche tracciato il traffico di rete fino al suo indirizzo IP di destinazione (141.105.65.149), confermando la connessione.
Per convalidare i miei risultati, ho esaminato anche l'email ricevuta dall'host. Conteneva un documento dannoso, chiaramente creato come parte di un tentativo di phishing. Ho agito immediatamente per mitigare la minaccia rimuovendolo dall'endpoint.
Dopo aver investigato a fondo l'endpoint interessato, ho deciso di contenere il dispositivo per prevenire ulteriori danni. Durante la revisione, ho scoperto la presenza del processo msdt.exe, che ha ulteriormente confermato la necessità di isolamento e di escalation al Livello 2 per un'analisi più approfondita.
Le prove mostrano una compromissione confermata tramite CVE-2022-30190 (Follina) veicolata in un'email di phishing. L'utente ha aperto ed eseguito il documento Word dannoso. L'analisi dei log e del file ha rilevato connessioni all'IP C2 incorporato ed esecuzione di comandi dell'aggressore sul dispositivo. L'incidente viene sottoposto a escalation a un analista SOC di Livello 2 e l'endpoint verrà isolato per contenere la minaccia e proteggere l'organizzazione.
Grazie per aver letto!
